ApostropheCMS: La API de importación omite los roles de publicación para contenido protegido
Alcance de la revisión y límites de las evidencias
Paquete: @apostrophecms/import-export, versión 3.7.0.
Etiqueta de lanzamiento revisada: @apostrophecms/import-export@3.7.0, commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (septiembre 30, 2026).
Rama principal (main) revisada: 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.
El importador, el extractor gzip, la validación de permisos de importación y la implementación de permisos del núcleo no presentan diferencias entre esa etiqueta de lanzamiento y la rama main revisada. Este seguimiento corresponde a una revisión estática de mitigación. No hemos repetido las reproducciones de extremo a extremo originales contra el lanzamiento más reciente ni probado un sitio en producción. La explotabilidad actual y el impacto requieren, por tanto, la validación de los mantenedores; las observaciones detalladas a continuación confirman que las comprobaciones de seguridad notificadas siguen ausentes en el código fuente público. El PDF original enviado por correo electrónico incluye el material de reproducción original.
La API de importación elude los roles de publicación para contenido protegido
La barrera de importación en canImportOrExport() comprueba la configuración de importación del tipo y el permiso de visualización. Posteriormente, las funciones auxiliares de escritura invocan directamente las operaciones de inserción/actualización del document-manager, incluidas las operaciones sobre variantes publicadas. No se encontró la comprobación habitual de permisos de publicación ni la transición beforePublish en dichas funciones. Los permisos del núcleo distinguen de forma intencionada entre editRole y publishRole, y el ciclo de vida habitual de publicación hace cumplir dicha distinción.
El límite de seguridad reportado involucra un tipo de contenido que un editor puede modificar, pero cuya publicación está reservada para un rol superior. Los cambios directos en el estado público mediante la importación deben exigir la misma autoridad de publicación. El informe original describe la creación, sustitución o eliminación no autorizada de contenido publicado bajo esta configuración.
Mitigación sugerida: centralizar la autorización para las operaciones de escritura en la importación; requerir permiso de publicación para cada variante publicada que no sea de publicación automática, autorizar cada destino concreto y validar previamente toda la importación antes de aplicar cambios persistentes. Preservar las importaciones autorizadas de borradores y el comportamiento previsto para tipos autopublicados.
Referencias de origen:
- Import write helpers
- Import permission gate
- Core role distinctions
- Core insert/update/publication permission hooks
Coordinación
Vivek R / Winfunc Equipo de reporte original: Mufeed VH / Winfunc
Qué hacer
Actualice @apostrophecms/import-export a la versión 3.7.1 o posterior y apostrophe a la versión 4.34.0 o posterior para corregir la validación de permisos en las operaciones de importación.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | apostrophe | < 4.34.0 | 4.34.0 |
| Paquete de npm | @apostrophecms/import-export | < 3.7.1 | 3.7.1 |
Referencias
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-5m22-7pfq-vp65
- https://nvd.nist.gov/vuln/detail/CVE-2026-113649
- https://github.com/apostrophecms/apostrophe/commit/06e4b377f3c360f9e89c32dccd7e505ad5ddf498
- https://github.com/apostrophecms/apostrophe/commit/40b989b1a9dd23d30029b8ce7668634265cfe5ea
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/%40apostrophecms/import-export%403.7.1
- https://github.com/apostrophecms/apostrophe/releases/tag/@apostrophecms/import-export@3.7.1
- https://github.com/apostrophecms/apostrophe/releases/tag/apostrophe@4.34.0
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N- Debilidad (CWE)
CWE-862- Plataforma
- npm
- Paquete
apostrophe, @apostrophecms/import-export- Publicada
- 21.10.2026
- Actualizado
- 21.10.2026 20:21
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-5m22-7pfq-vp65 - CC BY 4.0
Historial de vulnerabilidades: apostrophe
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 33
- Primera → última
- 09.2020 10.2026
- Sin corrección
- 4
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 9
- Media 18
- Baja 4
Divulgaciones por año
- 2020: 2
- 2021: 2
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 29
-
ApostropheCMS: La API de importación omite los roles de publicación para contenido protegido esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.