CVE-2026-33888
Açıklama
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.28.0 ve önceki sürümler, @apostrophecms/piece-type modülünün getRestQuery metodunda bir kimlik doğrulama atlatma zafiyeti içermektedir; bu metod, yönetici tarafından yapılandırılan publicApiProjection'ı uygulamadan önce bir MongoDB projeksiyonunun halihazırda ayarlanıp ayarlanmadığını kontrol etmektedir. Kimliği doğrulanmamış bir saldırgan, REST API isteğinde bir proje sorgu parametresi sağlayabilir; bu parametre izin kontrolünden önce applyBuildersSafely tarafından işlenerek projeksiyon durumunu önceden doldurur ve publicApiProjection'ın tamamen atlanmasına neden olur. Bu durum, yöneticinin genel API için açıkça kısıtladığı dahili notlar, taslak içerikler veya meta veriler gibi halka açık olarak sorgulanabilen belgelerdeki herhangi bir alanın ifşa edilmesine olanak tanır. İstismar işlemi basittir ve yalnızca kimlik doğrulaması gerektirmeyen genel bir URL'ye sorgu parametrelerinin eklenmesini gerektirir. Bu sorun 4.29.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- apostrophecms apostrophecms4.29.0 ya da sonraki bir sürüm
- apostrophe4.29.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophecms | v < 4.29.0 | 4.29.0 |
| apostrophenpm | v < 4.29.0 | 4.29.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.