- Yama var
- CWE-639
- CWE-862
CVE-2026-113665
ApostropheCMS'te bildirim PATCH ve DELETE uç noktalarında eksik yetkilendirme
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.33.0 sürümünden önce, bildirim modülü, isteyenin kimliğini doğrulamadan veya hedef bildirimin sahibi olup olmadığını kontrol etmeden doğrudan temel MongoDB koleksiyonu üzerinde işlem yapan PATCH ve DELETE REST uç noktalarını açığa çıkarıyordu. Bunun sonucunda, geçerli bir bildirim kimliğine sahip kimliği doğrulanmamış bir saldırgan, başka bir kullanıcının bildirimini değiştirebilir veya kalıcı olarak silebilir. Bu sorun 4.33.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the notification module exposes PATCH and DELETE REST endpoints that perform operations directly on the underlying MongoDB collection without verifying that the requester is authenticated or owns the target notification. As a result, an unauthenticated attacker who obtains a valid notification ID can modify or permanently delete another user's notification. This issue is fixed in version 4.33.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.