CVE-2026-39857
Açıklama
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.28.0 ve önceki sürümler, REST API'nin choices ve counts sorgu parametrelerinde bir kimlik doğrulama atlatma zafiyeti içermektedir; burada bu sorgu oluşturucular, hangi alanların herkese açık olarak sunulacağını sınırlamayı amaçlayan publicApiProjection kısıtlamalarını atlayan MongoDB distinct() işlemleri yürütür. choices ve counts parametreleri, projeksiyon uygulanmadan önce applyBuildersSafely aracılığıyla işlenir ve MongoDB'nin distinct işlemi projeksiyonlara uymayarak tüm benzersiz değerleri doğrudan döndürür. Sonuçlar, publicApiProjection veya removeForbiddenFields üzerinden herhangi bir filtreleme yapılmaksızın API yanıtında döndürülür. Kimliği doğrulanmamış bir saldırgan; string, integer, float, select, boolean, date, slug ve relationship alanları dahil olmak üzere, kayıtlı bir sorgu oluşturucusu olan herhangi bir şema alan türü için tüm benzersiz alan değerlerini çıkarabilir. viewPermission ile korunan alanlar da benzer şekilde ifşa edilir ve counts varyantı ek olarak her bir benzersiz değere sahip kaç belge olduğunu ortaya çıkarır. Hem piece-type hem de page REST API'leri etkilenmektedir. Bu sorun 4.29.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- apostrophecms apostrophecms4.29.0 ya da sonraki bir sürüm
- apostrophe4.29.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophecms | v < 4.29.0 | 4.29.0 |
| apostrophenpm | v < 4.29.0 | 4.29.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.