- Yama var
- CWE-862
CVE-2026-112957
ApostropheCMS'te sayfa uç noktası görüntüleme yetkisi kontrollerini atlatıyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.34.0 sürümünden önce, sayfalar için kullanılan getOne REST uç noktası viewRole tür düzeyindeki kısıtlamaları ve viewPermission alan düzeyindeki gizlemeyi uygulamamaktadır. Bir doküman _id değerini bilen editör düzeyindeki bir kullanıcı, yalnızca yöneticilere açık sayfaların tam içeriğini ve bu sayfaların ayrıcalıklı alanlarını okuyabilmektedir. Oysa getAll uç noktası her iki kısıtlamayı da doğru şekilde uygulamaktadır. Bu sorun 4.34.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, the getOne REST endpoint for pages does not apply viewRole type-level restrictions or viewPermission field-level redaction. An editor-level user who knows a document _id can read the full content of admin-only pages and their privileged fields, while the getAll endpoint correctly enforces both restrictions. This issue is fixed in version 4.34.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.34.0 | 4.34.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.