p PatchFirst

CVE-2026-113667

CVE-2026-113667 · ApostropheCMS: CAPTCHA response token not URL-encoded

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

ApostropheCMS is an open-source Node.js content management system. Prior to 1.5.5 of the Form add-on, 1.2.1 of login-recaptcha, and 1.3.0 of login-hcaptcha, these three CAPTCHA integrations interpolate an unencoded user-supplied response token into the provider verification request. Crafted tokens can smuggle request parameters and disrupt CAPTCHA verification and CAPTCHA-gated form or login flows; automated bypass probing is possible, but a successful CAPTCHA bypass or secret disclosure is not established. This issue is fixed in Form 1.5.5, login-recaptcha 1.2.1, and login-hcaptcha 1.3.0.

CVSS 5.3 · Средний · EPSS 0,4% · Публичный эксплойт · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • apostrophe

    Версии
    • < 4.33.0: Затронуто

    Нет опубликованного исправления

  • form

    Версии
    • < 1.5.5: Затронуто

    Нет опубликованного исправления

  • login-hcaptcha

    Версии
    • < 1.3.0: Затронуто

    Нет опубликованного исправления

  • login-recaptcha

    Версии
    • < 1.2.1: Затронуто

    Нет опубликованного исправления

  • @apostrophecms/form npm

    Затронутые диапазоны версий
    • SEMVER: < 1.5.5

    Обновитесь до 1.5.5

  • @apostrophecms/login-recaptcha npm

    Затронутые диапазоны версий
    • SEMVER: < 1.2.1

    Обновитесь до 1.2.1

  • @apostrophecms/login-hcaptcha npm

    Затронутые диапазоны версий
    • SEMVER: < 1.3.0

    Обновитесь до 1.3.0

Первоисточники

Проверьте свой сервер →