- Yama var
- CWE-400
- CWE-770
CVE-2026-113711
ApostropheCMS @apostrophecms/import-export modülünde kimlik doğrulaması gerektirmeyen kaynak tüketimi (hizmet dışı bırakma) açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, Node.js ile geliştirilmiş açık kaynaklı bir içerik yönetim sistemidir. ApostropheCMS'in 4.33.0 sürümünden ve import-export modülünün 3.7.0 sürümünden önceki sürümlerinde, içe aktarma rotaları bigUploadMiddleware'i erken bir yetkilendirme geri çağırma fonksiyonu olmadan çalıştırmaktadır. Bu durum, kimliği doğrulanmamış isteklerin yükleme başlatma, parça depolama, geçici işleme ve saldırgan tarafından belirtilen temizleme işlemlerini gerçekleştirmesine olanak tanımakta, ardından kullanıcı denetimi içe aktarmayı reddetmektedir. Bu sorun ApostropheCMS 4.33.0 ve import-export 3.7.0 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0 of ApostropheCMS and 3.7.0 of the import-export module, import routes invoke bigUploadMiddleware without an early authorize callback, allowing unauthenticated requests to perform upload initialization, chunk storage, temporary processing, and attacker-declared cleanup work before the later user check rejects the import. This issue is fixed in ApostropheCMS 4.33.0 and import-export 3.7.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @apostrophecms import-export | < 3.7.0 | 3.7.0 |
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.