- Yama var
- CWE-400
- CWE-1321
CVE-2026-113666
ApostropheCMS db-connect bileşeninde prototip üyesi silinmesi, tüm süreçte hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. db-connect'in 1.1.0 sürümünden önce ve ApostropheCMS'in 4.33.0 sürümünden önce, taslak görüntüleme yetkisine sahip bir hesap, bir kullanıcı SQLite, PostgreSQL veya multipostgres adaptörünü kullanıyorsa ve eşleşen bir belge varsa, bir yapıcı prototip zinciri üzerinden paylaşılan bir prototip üyesine ulaşan bir projeksiyon dışlama yolu gönderebilir. Her düzenleme rolü taslak görüntüleme yetkisine sahiptir; guestApiAccess ayarı ise bu ön koşulu oturum açmış herhangi bir hesaba genişletir. unsetNestedField yardımcı fonksiyonu daha sonra paylaşılan çalışma zamanı üyesini siler ve bu da kalıcı, tüm süreci etkileyen bütünlük ve erişilebilirlik sorunlarına neden olur. Varsayılan MongoDB adaptörü etkilenmez. Bu sorun db-connect 1.1.0 ve ApostropheCMS 4.33.0 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 1.1.0 of db-connect and 4.33.0 of ApostropheCMS, an account with view-draft access can submit a projection exclusion path that traverses through a constructor prototype chain to a shared prototype member when a consumer uses a SQLite, PostgreSQL, or multipostgres adapter and has a matching document. Every editing role has view-draft access, while guestApiAccess broadens this prerequisite to any logged-in account. The unsetNestedField helper then deletes the shared runtime member, causing persistent process-wide integrity and availability effects; the default MongoDB adapter is not affected. This issue is fixed in db-connect 1.1.0 and ApostropheCMS 4.33.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @apostrophecms db-connect | < 1.1.0 | 1.1.0 |
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…trophe/security/advisories/GHSA-j5rq-xfvr-p969 Diğer
- github.com/…ommit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce Diğer
- github.com/…ommit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350 Diğer
- github.com/…e/releases/tag/@apostrophecms/db-connect@1.1.0 Diğer
- github.com/…ecms/apostrophe/releases/tag/apostrophe@4.33.0 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.