- Yama var
- CWE-306
- CWE-862
CVE-2026-113648
ApostropheCMS içe/dışa aktarma modülünde kimlik doğrulama eksikliği
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. import-export modülünün 3.7.1 sürümünden önce, @apostrophecms/import-export içindeki POST /api/v1/@apostrophecms/import-export/clean-export API uç noktası kimlik doğrulama ve yetkilendirme kontrollerinden yoksundur. Siteyi ziyaret ederek standart CSRF çerezini elde etmiş kimliği doğrulanmamış anonim kullanıcılar dahil her istemci, bu rotayı doğrudan çağırabilir ve altta yatan self.cleanExport(req) metodunu tetikleyebilir. Sorun 3.7.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, the API endpoint POST /api/v1/@apostrophecms/import-export/clean-export in @apostrophecms/import-export lacks authentication and authorization checks. Any client—including unauthenticated anonymous users who have obtained the standard CSRF cookie from visiting the site—can directly invoke this route and trigger the underlying self.cleanExport(req) method. This issue is fixed in version 3.7.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @apostrophecms import-export | < 3.7.1 | 3.7.1 |
| apostrophecms apostrophe | < 4.34.0 | 4.34.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.