- Yama var
- CWE-22
CVE-2026-113664
ApostropheCMS import-export modülünde tar dosyası kontrolü './..' yolunu atlayabiliyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, Node.js tabanlı açık kaynaklı bir içerik yönetim sistemidir. import-export modülünün 3.7.0 sürümünden önce, kimliği doğrulanmış bir içe aktarıcı, normalleştirilmiş hedefi bir dizin olan ve üst dizin yolu için yapılan düz metin '../' alt dizgi kontrolünü atlatan bir tar girdisi gönderebiliyordu. Bu dizini yazma akışı olarak açmak, Node.js sürecini sonlandırabilen işlenmemiş bir dosya sistemi hatası üretiyor. Kaynak, bu statik mekanizmayı ortaya koymakla birlikte uçtan uca bir istismar ya da kontrollü rastgele dosya okuma veya yazma olduğunu göstermiyor. Bu sorun 3.7.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.0 of the import-export module, an authenticated importer can submit a tar entry whose normalized destination targets a directory while bypassing the literal parent-path substring guard. Opening that directory as a write stream emits an unhandled filesystem error that can terminate the Node.js process; the source establishes this static primitive but not an end-to-end exploit or controlled arbitrary file read or write. This issue is fixed in version 3.7.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @apostrophecms import-export | < 3.7.0 | 3.7.0 |
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.