ApostropheCMS: Dostęp publiczny do obiektów @apostrophecms/user poprzez relacje
Wpływ
Chociaż reguła viewRole jest poprawnie stosowana dla gości, współpracowników itp., nie ma ona zastosowania do ogółu użytkowników (anonimowych odbiorców). Oznacza to, że zabezpieczony typ treści, taki jak @apostrophecms/user, może teoretycznie zostać uzyskany.
Ryzyko jest w znacznym stopniu ograniczone faktem, że żaden typ treści nie posiada automatycznie publicznego REST API – musi ono zostać wyraźnie włączone. Niemniej jednak programiści mogą przez pomyłkę skonfigurować relację między typem treści (np. wpisem na blogu) a @apostrophecms/user. Mogłoby to doprowadzić do ujawnienia poufnych informacji w przypadku źle przygotowanych szablonów, na przykład serializujących cały obiekt do formatu JSON. Skróty haseł NIE są narażone, ponieważ znajdują się w osobnej kolekcji.
Publiczny projekt demonstracyjny oraz jego warianty muszą zostać zaktualizowane w pierwszej kolejności, ponieważ nieświadomie polegają na tym błędzie.
Poprawki
4.33.0
Obejścia
Nigdy nie należy tworzyć relacji z @apostrophecms/user, które mają być wyświetlane użytkownikom bez uprawnień administratora. Jeśli wymagana jest relacja określająca autorstwo, należy utworzyć odrębny typ elementu autora (author piece type) do celów publicznych.
Co trzeba zrobić
Zaktualizuj pakiet do wersji 4.33.0 lub nowszej. Jako obejście unikaj tworzenia relacji z @apostrophecms/user na potrzeby widoków dostępnych dla użytkowników niebędących administratorami i korzystaj z osobnego typu elementu do reprezentowania autorów.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | apostrophe | < 4.33.0 | 4.33.0 |
Odnośniki
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-xf6w-q65w-4f2w
- https://github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce
- https://github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350
- https://github.com/apostrophecms/apostrophe
- https://github.com/apostrophecms/apostrophe/releases/tag/apostrophe@4.33.0
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-863- Platforma
- npm
- Paczka
apostrophe- Ujawniono
- 20.10.2026
- Aktualizacja
- 20.10.2026 21:36
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-xf6w-q65w-4f2w - CC BY 4.0
Historia podatności: apostrophe
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 27
- Pierwsza → ostatnia
- 09.2020 10.2026
- Bez poprawki
- 4
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Wysoka 8
- Średnia 13
- Niska 4
Ujawnienia w latach
- 2020: 2
- 2021: 2
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 23
-
ApostropheCMS: Dostęp publiczny do obiektów @apostrophecms/user poprzez relacje ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.