- Yama var
- CWE-200
- CWE-862
CVE-2026-113668
ApostropheCMS'te :_id/locales REST rotasında yetkilendirme kontrolü eksik: kimlik doğrulamasız belge varlığı ve yerel ayar bilgisi ifşası
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. 4.33.0 sürümünden önce, GET /api/v1/<piece-type>/:_id/locales REST rotası (ve eşdeğer sayfa rotası), ApostropheCMS'in diğer okuma rotalarının uyguladığı publicApiCheckAsync kontrolünü uygulamamaktadır. Bu nedenle kimliği doğrulanmamış bir istemci, bu rotayı herhangi bir belge _id değeriyle sorgulayarak belgenin var olup olmadığını ve hangi yerel ayarlarda yayımlandığını öğrenebilir. Bu, okuma API'sinin normalde kısıtlaması gereken belge varlığı ve yerel ayar meta verisi ifşasıdır. Sorun 4.33.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the REST route GET /api/v1/<piece-type>/:_id/locales (and the equivalent page route) does not apply the publicApiCheckAsync gate that ApostropheCMS's other read routes enforce. An unauthenticated caller can therefore query this route for any document _id and learn whether the document exists and which locales it is published in — a document-existence and locale-metadata disclosure that the read-API is otherwise supposed to gate. This issue is fixed in version 4.33.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.