ApostropheCMS: Öffentlicher Zugriff auf @apostrophecms/user-Objekte über Beziehungen möglich
Auswirkungen
Obwohl viewRole für Gäste, Mitwirkende usw. ordnungsgemäß angewendet wird, gilt dies nicht für die breite Öffentlichkeit. Dies bedeutet, dass auf einen geschützten Inhaltstyp wie @apostrophecms/user theoretisch zugegriffen werden kann.
Das Risiko wird stark dadurch gemindert, dass es für keinen Inhaltstyp eine automatische öffentliche REST-API gibt; diese muss ausdrücklich freigegeben werden. Entwickler könnten jedoch den Fehler machen, eine Beziehung zwischen einem Inhaltstyp wie einem Blogbeitrag und @apostrophecms/user einzurichten. Dies könnte potenziell vertrauliche Informationen offenlegen, wenn Vorlagen mangelhaft programmiert sind, beispielsweise wenn sie das gesamte Objekt als JSON serialisieren. Passwort-Hashes sind NICHT betroffen, da sie in einer separaten Collection gespeichert sind.
Das öffentliche Demo-Projekt und seine verschiedenen Varianten müssen zuerst aktualisiert werden, da sie versehentlich auf diesen Fehler angewiesen sind.
Patches
4.33.0
Problemumgehungen
Erstellen Sie niemals Beziehungen zu @apostrophecms/user, die für die Anzeige durch Nicht-Administratoren bestimmt sind. Wenn eine Beziehung zur Angabe der Autorschaft benötigt wird, erstellen Sie einen separaten Author-Piece-Typ, um dies öffentlich darzustellen.
Was zu tun ist
Aktualisieren Sie auf Version 4.33.0 oder höher. Vermeiden Sie als Behelfslösung Beziehungen zu @apostrophecms/user für Nicht-Admin-Anzeigen und nutzen Sie stattdessen einen separaten Inhaltstyp für Autorenangaben.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | apostrophe | < 4.33.0 | 4.33.0 |
Verweise
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-xf6w-q65w-4f2w
- https://github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce
- https://github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/apostrophe@4.33.0
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-863- Plattform
- npm
- Paket
apostrophe- Veröffentlicht
- 20.10.2026
- Aktualisiert
- 20.10.2026 21:36
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-xf6w-q65w-4f2w - CC BY 4.0
Schwachstellenhistorie: apostrophe
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 27
- Erste → letzte
- 09.2020 10.2026
- Ohne Fix
- 4
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 2
- Hoch 8
- Mittel 13
- Niedrig 4
Veröffentlichungen pro Jahr
- 2020: 2
- 2021: 2
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 23
-
ApostropheCMS: Öffentlicher Zugriff auf @apostrophecms/user-Objekte über Beziehungen möglich dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.