Zaloguj się
Deutsch English Español Polski
Krytyczna

Apostrophe CMS Insufficient Session Expiration vulnerability

  • Ujawniono: 10.11.2021
  • Aktualizacja: 11.10.2026 10:22

Apostrophe CMS versions between 2.63.0 to 3.3.1 affected by an insufficient session expiration vulnerability, which allows unauthenticated remote attackers to hijack recently logged-in users' sessions. As a mitigation for older releases the user account in question can be archived (3.x) or moved to the trash (2.x and earlier) which does disable the existing session.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm apostrophe >= 2.63.0, < 3.4.0 3.4.0

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-613
Platforma
npm
Paczka
apostrophe
Ujawniono
10.11.2021
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-9j9m-8wjc-ff96 - CC BY 4.0

Historia podatności: apostrophe

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (27) w archiwum
Wszystkich wpisów
27
Pierwsza → ostatnia
09.2020 10.2026
Bez poprawki
4
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 8
  • Średnia 13
  • Niska 4

Ujawnienia w latach

Istotność:
  1. ApostropheCMS: Nieuwierzytelnione żądania importu CSV pozostawiają odrzucone pliki w systemowym katalogu tymczasowym
    Wysoka · 7.5 CVE-2026-113658 < 4.33.0 4.33.0
  2. ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu
    Wysoka · 7.1 CVE-2026-113666 < 4.33.0 4.33.0
  3. ApostropheCMS: 2nd-order prototype pollution via PATCH leading to single-request persistent DoS
    Wysoka CVE-2026-71553 <= 4.32.0 brak poprawki
  4. Apostrophe has Server-Side Prototype Pollution in apos.util.set via patch operators that leads to process-wide authorization bypass
    Krytyczna · 9.1 CVE-2026-53609 < 4.31.0 4.31.0
  5. Apostrophe has stored XSS via javascript: URL in Image Widget Link
    Wysoka · 7.3 CVE-2026-45011 = 4.29.0 brak poprawki
  6. Apostrophe has a Weak Password Recovery Mechanism for Forgotten Password and Improper Input Validation
    Wysoka · 8.1 CVE-2026-45013 <= 4.29.0 brak poprawki
  7. Apostrophe has authenticated SSRF in rich-text widget import via @apostrophecms/area/validate-widget
    Wysoka · 7.6 CVE-2026-45012 <= 4.29.0 brak poprawki
  8. Stored XSS in SEO Fields Leads to Authenticated API Data Exposure in ApostropheCMS
    Wysoka · 8.7 CVE-2026-35569 < 4.29.0 4.29.0
  9. ApostropheCMS MFA/TOTP Bypass via Incorrect MongoDB Query in Bearer Token Middleware
    Wysoka · 8.1 CVE-2026-32730 < 4.28.0 4.28.0
  10. Apostrophe CMS Insufficient Session Expiration vulnerability ten wpis
    Krytyczna · 9.8 CVE-2021-25979 >= 2.63.0, < 3.4.0 3.4.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.