Schwachstellen verstehen. Anwendungen schützen.

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)

ApostropheCMS: Incomplete CVE-2026-53606: `meta http-equiv=refresh` `content` still ships `javascript:` / `data:` URLs

ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization

ApostropheCMS: GET /api/v1/@apostrophecms/page/:id umgeht viewRole-Beschränkung und legt viewPermission-geschützte Felder offen

In ApostropheCMS vor Version 4.34.0 umgeht ein REST-Endpunkt Zugriffsbeschränkungen auf Seitenebene und Feldebene, sodass Benutzer mit Editor-Rechten sensible Inhalte und Felder einsehen können.

ApostropheCMS: Offenlegung privater und administrativer Inhalte über den Endpunkt doc/slugTaken

Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, über den Endpunkt doc/slugTaken Slugs im gesamten System aufzuzählen und so die Existenz privater, entwurfsbasierter und administrativer Inhalte offenzulegen.

ApostropheCMS: Gespeichertes XSS über nicht maskierte Serialisierung von Widget-Stilattributen

In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.

ApostropheCMS: Umgehung der Farbfeld-Validierung ermöglicht Stored XSS über nach rgb()/hsl()-Präfix angehängtes HTML

Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.

ApostropheCMS: Import-API umgeht Veröffentlichungsrollen für geschützte Inhalte

In ApostropheCMS umgeht die Import-API Veröffentlichungsrollen für geschützte Inhalte. Redakteure ohne Veröffentlichungsrechte können dadurch veröffentlichte Inhalte unbefugt anlegen, ersetzen oder löschen.

ApostropheCMS: Import-Archive können Serverspeicher erschöpfen und Denial-of-Service verursachen

Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, durch fehlende Kontingente und mangelhafte Fehlerbereinigung den Serverspeicher beim Entpacken von Archiven zu erschöpfen und DoS auszulösen.

ApostropheCMS: Fortsetzung bei Archiv-Duplikaten erlaubt Mitwirkenden das Überschreiben veröffentlichter Inhalte

In @apostrophecms/import-export akzeptiert die Fortsetzung overrideDuplicates vom Client übergebene Ersetzungsoptionen, wodurch Mitwirkende veröffentlichte Inhalte ohne Veröffentlichungsrechte überschreiben können.

ApostropheCMS: Öffentlicher Zugriff auf @apostrophecms/user-Objekte über Beziehungen möglich

In ApostropheCMS wird viewRole nicht auf die Öffentlichkeit angewendet. Dadurch können Benutzerobjekte über Beziehungsfelder offengelegt werden, falls Vorlagen Daten unzureichend filtern.

ApostropheCMS: Autorisierungsumgehung in der Seiten-REST-API

Eine Autorisierungsumgehung in der Seiten-REST-API von ApostropheCMS ermöglicht es nicht authentifizierten Besuchern und Mitarbeitern mit geringen Rechten, geschützte Seiteninhalte und Metadaten auszulesen.

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

In ApostropheCMS import-export ermöglicht eine unzureichende Prüfung von Tar-Dateipfaden authentifizierten Benutzern, den Node-Prozess über ein manipuliertes Archiv zum Absturz zu bringen.

ApostropheCMS: Clientseitige Prototype Pollution in apos.http.parseQuery führt zu DOM-basiertem XSS gegen authentifizierte Benutzer

Eine clientseitige Prototype-Pollution-Schwachstelle in ApostropheCMS ermöglicht es Angreifern, beliebigen JavaScript-Code in der Sitzung authentifizierter Benutzer auszuführen, wenn das Opfer einen manipulierten Link aufruft. Dies kann zur Kompromittierung des Kontos und der CMS-Instanz führen.

ApostropheCMS: Fehlende Ratenbegrenzung bei der Passwortänderung ermöglicht unbegrenztes Erraten des aktuellen Passworts

Da ApostropheCMS die Anzahl der Versuche am Endpunkt zur Passwortänderung nicht begrenzt, können Angreifer mit einer gültigen Sitzung das aktuelle Passwort ohne Sperren oder Verzögerungen erraten und das Konto übernehmen.

ApostropheCMS: Umgehung der Autorisierung auf Objektebene in exist-in-locale legt Kennungen geschützter Entwürfe offen

In ApostropheCMS vor Version 4.33.0 erlaubt die API exist-in-locale authentifizierten Benutzern mit geringen Rechten, die Existenz geschützter Dokumente und unveröffentlichter Entwürfe in bestimmten Locales festzustellen und Dokumenten-IDs abzufragen.

ApostropheCMS uploadfs Azure-Backend legt SAS-Token auf Kontoebene in öffentlichen URLs offen

In ApostropheCMS uploadfs mit Azure-Backend und aktivierter SAS-Option wird ein Container-Level-SAS-Token versehentlich in öffentliche Anhangs-URLs eingefügt. Dies ermöglicht nicht autorisierten Benutzern das Lesen, Überschreiben, Löschen und Auflisten aller Blobs im Container.

ApostropheCMS: Host-Header steuert Ursprung serverseitiger Bildabrufe in @apostrophecms/ai-helper (SSRF)

In @apostrophecms/ai-helper kann ein authentifizierter Editor über einen manipulierten Host-Header den Zielursprung serverseitiger Bildabrufe manipulieren und SSRF-Anfragen an interne Hosts und Ports auslösen.