ApostropheCMS: Evasión de validación del campo de color permite XSS almacenado mediante HTML añadido tras prefijo rgb()/hsl()
Resumen
El campo de color acepta cualquier cadena que comience con un color rgb() / hsl() válido, debido a que TinyColor.isValid no ancla su coincidencia al final de la cadena. Un usuario autenticado con permisos de edición puede almacenar HTML arbitrario tras un prefijo de color válido. Cuando el valor almacenado se renderiza, la carga útil se ejecuta, dando lugar a Cross-Site Scripting (XSS) almacenado.
Detalles
La validación del campo de color en el lado del servidor se basa en TinyColor:
const { TinyColor } = require('@ctrl/tinycolor');
if (!new TinyColor(value).isValid) throw self.apos.error('invalid');Los comparadores rgb/hsl de TinyColor no están anclados al final de la cadena, a diferencia de los comparadores hexadecimales. Probado con @ctrl/tinycolor:
| Input | isValid |
|---|---|
rgb(1,2,3)<img src=x onerror=alert(1)> |
true |
rgb(1,2,3)</textarea><script>alert(1)</script> |
true |
hsl(0,100%,50%);--x:1}</style><script>alert(1)</script> |
true |
#ff0000<img src=x onerror=alert(1)> |
false |
El valor se guarda en MongoDB sin modificaciones (no normalizado a hex8).
Relación con GHSA-97v6-998m-fp4g
GHSA-97v6 abordó la inyección de propiedades personalizadas de CSS que escapaban de un contexto <style>. La causa raíz (validación que acepta contenido posterior a un color válido) aún existe en <= 4.32.2, por lo que el sumidero de la etiqueta de estilo sigue siendo explotable mediante </style> o bien un sumidero HTML independiente resulta explotable. Corregir la validación (exigiendo que toda la cadena sea un color o almacenando únicamente la salida normalizada de TinyColor) solucionaría ambos problemas.
Impacto
Cualquier usuario con permisos de edición puede introducir código JavaScript persistente que se ejecuta en el navegador de visitantes y administradores que visualicen la página afectada, permitiendo el secuestro de sesiones y la realización de acciones como administrador.
Solución sugerida
Rechazar valores a menos que toda la cadena sea un color válido, por ejemplo normalizando al guardar:
const c = new TinyColor(value);
if (!c.isValid) throw self.apos.error('invalid');
value = c.toHex8String(); // store only normalized outputQué hacer
Actualice ApostropheCMS a la versión 4.34.0 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | apostrophe | < 4.34.0 | 4.34.0 |
Referencias
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-vmgj-9cwm-cf3h
- https://nvd.nist.gov/vuln/detail/CVE-2026-112951
- https://github.com/apostrophecms/apostrophe/commit/06e4b377f3c360f9e89c32dccd7e505ad5ddf498
- https://github.com/apostrophecms/apostrophe/commit/40b989b1a9dd23d30029b8ce7668634265cfe5ea
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/apostrophe@4.34.0
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N- Debilidad (CWE)
CWE-79- Plataforma
- npm
- Paquete
apostrophe- Publicada
- 21.10.2026
- Actualizado
- 21.10.2026 20:21
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-vmgj-9cwm-cf3h - CC BY 4.0
Historial de vulnerabilidades: apostrophe
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 33
- Primera → última
- 09.2020 10.2026
- Sin corrección
- 4
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 9
- Media 18
- Baja 4
Divulgaciones por año
- 2020: 2
- 2021: 2
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 29
-
ApostropheCMS: Evasión de validación del campo de color permite XSS almacenado mediante HTML añadido tras prefijo rgb()/hsl() esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.