- Yama var
- CWE-79
- CWE-1321
CVE-2026-113659
ApostropheCMS'te apos.http.parseQuery üzerinden istemci tarafı prototip kirlenmesi, kimliği doğrulanmış kullanıcılara DOM tabanlı XSS
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.33.0 sürümünden önce, kimliği doğrulanmamış bir saldırgan, kimliği doğrulanmış bir kurbanın yönetici paketini içeren bir sayfayı yüklediğinde sorgu dizesi apos.http.parseQuery tarafından otomatik olarak ayrıştırılan, özel olarak hazırlanmış bir bağlantı gönderebilir. Ayrıştırıcı, özel __proto__, constructor ve prototype yol anahtarlarını kabul eder; bu da tarayıcıda prototip değişikliğine izin vererek güvenli olmayan bir DOM hedefine ulaşabilir ve kurbanın oturumunda betik çalıştırabilir. Anonim ziyaretçiler etkilenen yönetici bağlamını yüklemediği için bu durumdan etkilenmez. Sorun 4.33.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, an unauthenticated attacker can send a crafted link whose query string is automatically parsed by apos.http.parseQuery when an authenticated victim loads a page with the admin bundle. The parser accepts the special __proto__, constructor, and prototype path keys, allowing browser prototype mutation that can reach an unsafe DOM sink and execute script in the victim's session; anonymous visitors do not load the affected admin context. This issue is fixed in version 4.33.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.