- Yama var
- CWE-200
CVE-2026-112952
ApostropheCMS'de slugTaken uç noktası, yetkisiz kullanıcılara özel içeriklerin varlığını ifşa ediyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.34.0 sürümünden önce, { "slug": "target-slug" } gövdesiyle gönderilen 'POST /api/v1/@apostrophecms/doc/slugTaken' isteği, bir slug'ın tüm doküman türleri ve görünürlük seviyelerinde kullanımda olup olmadığını belirten bir boolean değer döndürmekte olup herhangi bir yetki veya tür filtresi uygulanmamaktadır. Oturum açmış herhangi bir kullanıcı (editörler dahil), özel sayfaların, taslakların ve arşivlenmiş içeriklerin slug alanını numaralandırabilmektedir. Bu sorun 4.34.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, 'POST /api/v1/@apostrophecms/doc/slugTaken' with body { "slug": "target-slug" } returns a boolean indicating whether a slug is in use across all document types and visibility levels, with no permission or type filter. Any logged-in user (including editors) can enumerate the slug space of private pages, drafts, and archived content. This issue is fixed in version 4.34.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.34.0 | 4.34.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.