ApostropheCMS: Los archivos de importación pueden agotar el almacenamiento del servidor y provocar denegación de servicio

Alcance de la revisión y límites de las pruebas

Paquete: @apostrophecms/import-export, versión 3.7.0.

Etiqueta de lanzamiento revisada: @apostrophecms/import-export@3.7.0, commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (septiembre 30, 2026).

Rama principal actual revisada: 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.

El importador, el extractor gzip, la barrera de permisos de importación y la implementación de permisos centrales no presentan diferencias entre esa etiqueta de lanzamiento y la rama principal revisada. Este seguimiento es una revisión estática de la remediación. No se han repetido las reproducciones originales de extremo a extremo contra la última versión ni se ha probado en un sitio desplegado. Por lo tanto, la explotabilidad y el impacto actuales aún requieren validación por parte de los mantenedores; las observaciones siguientes establecen que las comprobaciones de seguridad reportadas siguen ausentes en el código fuente público. El PDF original enviado por correo electrónico contiene el material de reproducción original. Por favor, consulte dicho archivo adjunto privado existente.

La extracción de archivos de importación carece de cuotas de recursos y de limpieza ante fallos

El extractor gzip actual maneja errores de escritura en el destino y espera a que finalice la escritura; esas partes del informe original ya no deben considerarse sin cambios. Las rutas de importación ahora también requieren un usuario autenticado antes de procesar cargas grandes (big-upload), como se cubre en GHSA-86wm-68pq-5jwq.

Sin embargo, extract() sigue escribiendo entradas de archivo descomprimidas sin cuotas por entrada, de bytes descomprimidos acumulados o de cantidad de entradas. El análisis del archivo sigue precediendo a la autorización del tipo de documento. Si la extracción o el análisis fallan, import() notifica y vuelve a lanzar el error antes de la llamada posterior a storage.remove(), sin una limpieza incondicional en ese ciclo de vida. El riesgo residual notificado es el consumo excesivo de almacenamiento y la retención de artefactos de extracción/almacenamiento temporal procedentes de importaciones autenticadas. Manejar un error de escritura y requerir inicio de sesión no imponen un presupuesto de almacenamiento.

Remediación sugerida: añadir cuotas de transmisión configurables basadas en bytes descomprimidos reales, limitar las entradas y los tipos de entradas permitidos, restringir las importaciones simultáneas y limpiar los artefactos locales y de uploadfs tras cada fallo. Conservar artefactos de continuación solo bajo titularidad explícita, caducidad y límites de almacenamiento total.

Referencias de origen:

• Gzip extractor)
• Import lifecycle and cleanup)
• Related authentication fix)

Coordinación

Vivek R / Winfunc Equipo informador original: Mufeed VH / Winfunc