Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • CWE-284
  • CWE-943

CVE-2026-113662

ApostropheCMS import-export modülünde güncelleme anahtarı üzerinden NoSQL enjeksiyonu

@apostrophecms import-exportapostrophecms apostrophe

Orta 5,4 CVSS 3.1
Yayımlandı
Güncellendi
20 Eki 2026
Açık yaşı
8 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 3.7.0 sürümünden önceki import-export modülünde, hedef türe içe aktarma erişimi olan kimliği doğrulanmış bir kullanıcı, güncelleme anahtarı değeri olarak bir nesne ya da operatör verebilir. Bu durum, hazırlanmış içe aktarma sorgusunun, kullanıcının düzenleme izni olduğu kimliği belirlenmemiş mevcut bir belgeyle eşleşmesine ve bu belgenin üzerine yazılmasına neden olabilir. Normal findForEditing izin filtresi aday belgeleri yine de sınırladığından, sorun izin gerektirmeden korumalı içeriğin rastgele biçimde üzerine yazılmasına olanak tanımaz. Sorun 3.7.0 sürümünde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.0 of the import-export module, an authenticated user with import access to a target type can supply an object or operator as an update-key value, causing the import query to match an unidentified existing document that the user has generic edit permission to modify. The normal findForEditing permission filter still limits the candidate documents, so the issue does not permit permission-free overwrite of arbitrary protected content. This issue is fixed in version 3.7.0.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
@apostrophecms import-export < 3.7.0 3.7.0
apostrophecms apostrophe < 4.33.0 4.33.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.