ApostropheCMS: La continuación de duplicados de archivo permite a colaboradores sobrescribir contenido publicado
Alcance de la revisión y límites de la evidencia
Paquete: @apostrophecms/import-export, versión 3.7.0.
Etiqueta de versión revisada: @apostrophecms/import-export@3.7.0, commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (septiembre 30, 2026).
Rama principal (main) actual revisada: 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.
El importador, el extractor gzip, el control de permisos de importación y la implementación de permisos centrales no presentan diferencias entre esa etiqueta de versión y la rama principal revisada. Este seguimiento es una revisión estática de remediación. No se han repetido las reproducciones originales de extremo a extremo contra la última versión ni se ha probado en un sitio desplegado. Por lo tanto, la explotabilidad actual y el impacto aún requieren la validación de los mantenedores; las observaciones siguientes establecen que las comprobaciones de seguridad reportadas siguen ausentes en el código fuente público. El PDF original enviado por correo electrónico contiene el material original de reproducción; consúltese dicho adjunto privado existente.
La continuación de duplicados de archivo permite el reemplazo no autorizado de contenido publicado
La continuación overrideDuplicates() sigue aceptando opciones de reemplazo proporcionadas por el cliente, en lugar de vincularlas a un análisis de duplicados gestionado por el servidor y perteneciente al usuario. Las funciones auxiliares de reemplazo y escritura no establecen una identidad canónica de recurso única ni un contexto de autorización antes de la actualización. Esto deja sin resolver a nivel de código fuente la brecha reportada entre la autoridad de edición de borradores y el destino publicado seleccionado para el reemplazo.
El informe original describe a un colaborador cruzando el límite de publicación mediante el reemplazo de duplicados en un tipo localizado con la importación habilitada. No se ha repetido esa secuencia de extremo a extremo en 3.7.0.
Remediación sugerida: vincular el estado de continuación al usuario iniciador, archivo, trabajo, mapeo de origen/destino permitido, configuración regional (locale) y modo; rechazar metadatos de identidad inconsistentes; derivar los permisos a partir del destino real cargado y exigir autorización de publicación para los destinos publicados.
Origen: overrideDuplicates(), replaceDocId() y insertOrUpdateDoc() en el importer.).
Coordinación
- Vivek R / Winfunc
- Equipo de reporte original: Mufeed VH / Winfunc
Qué hacer
Actualice @apostrophecms/import-export a la versión 3.7.1 o superior.
Remediación sugerida por el informe: vincule el estado de continuación al usuario iniciador, archivo, trabajo, mapeo de origen/destino permitido, configuración regional y modo; rechace metadatos de identidad inconsistentes; derive permisos a partir del destino cargado y exija autorización de publicación para destinos publicados.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @apostrophecms/import-export | < 3.7.1 | 3.7.1 |
Referencias
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-jf5h-36mg-rp6x
- https://nvd.nist.gov/vuln/detail/CVE-2026-112956
- https://github.com/apostrophecms/apostrophe/commit/06e4b377f3c360f9e89c32dccd7e505ad5ddf498
- https://github.com/apostrophecms/apostrophe/commit/40b989b1a9dd23d30029b8ce7668634265cfe5ea
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/@apostrophecms/import-export@3.7.1
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N- Debilidad (CWE)
CWE-863- Plataforma
- npm
- Paquete
@apostrophecms/import-export- Publicada
- 21.10.2026
- Actualizado
- 21.10.2026 20:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-jf5h-36mg-rp6x - CC BY 4.0
Historial de vulnerabilidades: @apostrophecms/import-export
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 9
- Primera → última
- 03.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
- Media 6
- Baja 1
Divulgaciones por año
- 2026: 9
-
ApostropheCMS: La continuación de duplicados de archivo permite a colaboradores sobrescribir contenido publicado esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.