CVE-2026-113666
Açıklama
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. db-connect'in 1.1.0 ve ApostropheCMS'in 4.33.0 sürümlerinden önce, bir tüketici SQLite, PostgreSQL veya multipostgres adaptörü kullandığında ve eşleşen bir belgeye sahip olduğunda, view-draft erişimine sahip bir hesap, bir constructor prototip zinciri üzerinden paylaşılan bir prototip üyesine ulaşan bir projection exclusion yolu gönderebilir. Her düzenleme rolü view-draft erişimine sahiptir; guestApiAccess ise bu ön koşulu herhangi bir giriş yapmış hesaba genişletir. Ardından unsetNestedField yardımcısı, paylaşılan çalışma zamanı üyesini silerek süreç genelinde kalıcı bütünlük ve kullanılabilirlik etkilerine neden olur; varsayılan MongoDB adaptörü bundan etkilenmez. Bu sorun db-connect 1.1.0 ve ApostropheCMS 4.33.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- apostrophe4.33.0 ya da sonraki bir sürüm
- @apostrophecms/db-connect1.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apostrophenpm | v < 4.33.0 | 4.33.0 |
| @apostrophecms/db-connectnpm | v < 1.1.0 | 1.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.