Poznaj podatności. Chroń swoje aplikacje.

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)

ApostropheCMS: Incomplete CVE-2026-53606: `meta http-equiv=refresh` `content` still ships `javascript:` / `data:` URLs

ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization

ApostropheCMS: GET /api/v1/@apostrophecms/page/:id omija ograniczenie viewRole i ujawnia pola chronione przez viewPermission użytkownikom o niższych uprawnieniach

W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.

ApostropheCMS: Ujawnienie istnienia prywatnych i administracyjnych treści przez punkt końcowy doc/slugTaken

Luka w ApostropheCMS pozwala każdemu uwierzytelnionemu użytkownikowi na enumerację slugów w systemie za pośrednictwem punktu końcowego doc/slugTaken, ujawniając istnienie prywatnych, roboczych i administracyjnych treści.

ApostropheCMS: Podatność Stored XSS przez brak ucieczki znaków przy serializacji atrybutów stylów widgetów

W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.

ApostropheCMS: Obejście walidacji pola koloru umożliwia przechowywany XSS przez kod HTML dołączony po prefiksie rgb()/hsl()

Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.

ApostropheCMS: API importu omija role publikacji dla chronionych treści

W ApostropheCMS interfejs API importu omija role publikacji, co pozwala użytkownikom z uprawnieniami edycji na nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści.

ApostropheCMS: Archiwa importu mogą wyczerpać pamięć masową serwera i wywołać odmowę usługi

Luka w ApostropheCMS pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci masowej serwera podczas rozpakowywania archiwów z powodu braku limitów zasobów i usuwania pozostałości po awarii, co może wywołać odmowę usługi.

ApostropheCMS: Kontynuacja duplikatów archiwum pozwala współpracownikom na nadpisywanie opublikowanych treści

W pakiecie @apostrophecms/import-export funkcja overrideDuplicates akceptuje wybory zastąpienia przekazane przez klienta, co pozwala współpracownikom nadpisywać opublikowane treści bez uprawnień do publikacji.

ApostropheCMS: Dostęp publiczny do obiektów @apostrophecms/user poprzez relacje

W ApostropheCMS reguła viewRole nie obejmuje ogółu użytkowników, co może pozwolić na dostęp do obiektów użytkowników poprzez zdefiniowane relacje w nieprawidłowo skonstruowanych szablonach.

ApostropheCMS: Pominięcie autoryzacji w API REST stron

Luka w mechanizmie autoryzacji w API stron ApostropheCMS umożliwia nieuwierzytelnionym użytkownikom oraz osobom o niskich uprawnieniach odczyt zastrzeżonych treści stron oraz metadanych witryny.

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.

ApostropheCMS: Client-side Prototype Pollution w apos.http.parseQuery prowadzące do DOM-based XSS przeciwko uwierzytelnionym użytkownikom

Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.

ApostropheCMS: Brak ograniczania prób na uwierzytelnionym punkcie końcowym zmiany hasła umożliwia nieograniczone odgadywanie bieżącego hasła

Brak ograniczania liczby prób na uwierzytelnionym punkcie końcowym zmiany hasła w ApostropheCMS pozwala osobie z aktywną sesją na nieograniczone zgadywanie bieżącego hasła bez blokady konta, co może prowadzić do jego przejęcia.

ApostropheCMS: Pominięcie autoryzacji na poziomie obiektu w exist-in-locale ujawnia identyfikatory zastrzeżonych wersji roboczych

W ApostropheCMS przed wersją 4.33.0 interfejs API exist-in-locale umożliwia uwierzytelnionym użytkownikom sprawdzanie istnienia zastrzeżonych dokumentów i wersji roboczych oraz pobieranie ich identyfikatorów bez odpowiedniej autoryzacji na poziomie obiektu.

ApostropheCMS uploadfs z backendem Azure ujawnia token SAS w publicznych adresach URL załączników

W ApostropheCMS uploadfs z backendem Azure i opcją SAS token kontenera wycieka do publicznych adresów URL załączników. Pozwala to nieuprawnionym użytkownikom na odczyt, nadpisywanie, usuwanie i listowanie obiektów w kontenerze.

ApostropheCMS: Nagłówek Host kontroluje źródło pobierania obrazów w @apostrophecms/ai-helper, umożliwiając SSRF

W @apostrophecms/ai-helper uwierzytelniony edytor może manipulować nagłówkiem Host, aby sterować adresem docelowym pobierania obrazu przez serwer i wywołać atak SSRF w sieci wewnętrznej.