CVE-2026-53608
Açıklama
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. `@apostrophecms/seo` paketinin 1.4.2 sürümü ve öncesindeki versiyonlar, Google Analytics Takip Kimliğini (`seoGoogleTrackingId`) ve Google Tag Manager Kimliğini (`seoGoogleTagManager`), herhangi bir temizleme veya doğrulama işlemi yapmadan JavaScript şablon dizileri kullanarak doğrudan `<script>` etiketi gövdelerine yerleştirmektedir. Editör düzeyinde erişime sahip olan her kullanıcı (içerik yöneticileri için varsayılan rol), bu alanları kötü amaçlı bir değerle ayarlayabilir; bu durum, sitenin her ziyaretçisi için her sayfada çalışan saklı XSS ile sonuçlanır. Yayınlandığı tarih itibarıyla, bilinen yamalanmış bir sürüm mevcut değildir.
Nasıl düzeltilir
- @apostrophecms/seo1.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @apostrophecms/seonpm | v < 1.5.0 | 1.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.