- Yama var
- CWE-79
CVE-2026-112951
ApostropheCMS renk alanında doğrulama atlatma: rgb/hsl öneki sonrası eklenen HTML ile kalıcı XSS
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.34.0 sürümünden önceki sürümlerde, renk alanı TinyColor doğrulaması değerin tamamının bir renk ile eşleşmesini gerektirmediği için, geçerli bir rgb veya hsl önekinden sonra gelen fazla içeriği kabul etmektedir. Düzenleme yetkisine sahip kimliği doğrulanmış bir kullanıcı, geçerli bir renk önekinden sonra rastgele HTML depolayabilir. Depolanan değer görüntülendiğinde zararlı içerik çalışır ve kalıcı siteler arası betik çalıştırma (XSS) ortaya çıkar. Bu sorun 4.34.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, the color field accepts trailing content after a valid rgb() or hsl() prefix because its TinyColor validation does not require the entire value to match a color. An authenticated user with edit rights can store arbitrary HTML after a valid color prefix. When the stored value is rendered, the payload executes, resulting in stored XSS. This issue is fixed in version 4.34.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.34.0 | 4.34.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.