ApostropheCMS: El público general puede acceder a objetos @apostrophecms/user mediante relaciones
Impacto
A pesar de que se aplica correctamente a invitados, colaboradores, etc., viewRole no se aplica al público general. Esto significa que, en teoría, se puede acceder a un tipo de contenido protegido como @apostrophecms/user.
Esto se ve mitigado en gran medida por el hecho de que no existe una API REST pública automática para ningún tipo de contenido; es necesario habilitarla expresamente. Sin embargo, implica que los desarrolladores pueden cometer el error de configurar una relación entre un tipo de contenido como una entrada de blog y @apostrophecms/user. Esto podría exponer información confidencial si las plantillas están mal diseñadas, por ejemplo, si serializan el objeto completo en formato JSON. Tenga en cuenta que los hashes de contraseñas NO se ven afectados porque residen en una colección independiente.
El proyecto de demostración público y sus distintas variantes deben actualizarse primero porque dependen inadvertidamente de este fallo.
Parches
4.33.0
Mitigaciones alternativas
Nunca cree relaciones con @apostrophecms/user que estén destinadas a mostrarse a usuarios sin privilegios de administrador. Si necesita una relación que exprese autoría, cree un tipo de pieza de autor independiente para representarla públicamente.
Qué hacer
Actualice a la versión 4.33.0 o superior. Como solución alternativa, evite crear relaciones con @apostrophecms/user destinadas a mostrarse a usuarios sin rol de administrador y use un tipo de pieza independiente.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | apostrophe | < 4.33.0 | 4.33.0 |
Referencias
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-xf6w-q65w-4f2w
- https://github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce
- https://github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/apostrophe@4.33.0
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-863- Plataforma
- npm
- Paquete
apostrophe- Publicada
- 20.10.2026
- Actualizado
- 20.10.2026 21:36
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-xf6w-q65w-4f2w - CC BY 4.0
Historial de vulnerabilidades: apostrophe
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 27
- Primera → última
- 09.2020 10.2026
- Sin corrección
- 4
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 8
- Media 13
- Baja 4
Divulgaciones por año
- 2020: 2
- 2021: 2
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 23
-
ApostropheCMS: El público general puede acceder a objetos @apostrophecms/user mediante relaciones esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.