CVE-2026-113665
CVE-2026-113665 · ApostropheCMS: Missing Authorization on Notification PATCH/DELETE Endpoints
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the notification module exposes PATCH and DELETE REST endpoints that perform operations directly on the underlying MongoDB collection without verifying that the requester is authenticated or owns the target notification. As a result, an unauthenticated attacker who obtains a valid notification ID can modify or permanently delete another user's notification. This issue is fixed in version 4.33.0.
CVSS 3.7 · Низкий · EPSS 0,3% · Публичный эксплойт · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
apostrophe
- Версии
- < 4.33.0: Затронуто
Нет опубликованного исправления
apostrophe npm
- Затронутые диапазоны версий
- SEMVER: < 4.33.0
Обновитесь до 4.33.0
Первоисточники
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-vwwx-px9w-crrc
- https://github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce
- https://github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350
- https://github.com/apostrophecms/apostrophe/releases/tag/apostrophe@4.33.0
- https://nvd.nist.gov/vuln/detail/CVE-2026-113665