- Yama var
- CWE-400
- CWE-459
- CWE-770
CVE-2026-113658
ApostropheCMS'te kimliği doğrulanmamış CSV içe aktarma istekleri reddedilen yüklemeleri sistem geçici dizininde bırakıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.33.0 sürümünden önce, kimlik doğrulaması gerektirmeyen Zengin Metin CSV dönüştürme rotası, çok parçalı (multipart) bir yüklemeyi dosya uzantısını denetlemeden önce sistemin geçici dizinine yazmaktadır ve bu doğrulama yüklemeyi reddettiğinde geçici dosyayı silmemektedir. Normal herkese açık CSRF çerezi kullanılarak tekrarlanan büyük reddedilen yüklemeler, geçici disk kapasitesini kalıcı olarak tüketebilir ve aynı bölümü kullanan ApostropheCMS ile diğer hizmetlerin işleyişini bozabilir. Bu sorun ApostropheCMS 4.33.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the unauthenticated Rich Text CSV conversion route writes a multipart upload to the system temporary directory before checking its extension and does not remove the staged file when that validation rejects it. Repeated large rejected uploads, using the normal public CSRF cookie, can persistently consume temporary-disk capacity and may disrupt ApostropheCMS and other services that depend on the same partition. This issue is fixed in version 4.33.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.