p PatchFirst

CVE-2026-112952

CVE-2026-112952 · ApostropheCMS: POST /api/v1/@apostrophecms/doc/slugTaken discloses existence of private/admin-only content to any authenticated user

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, 'POST /api/v1/@apostrophecms/doc/slugTaken' with body { "slug": "target-slug" } returns a boolean indicating whether a slug is in use across all document types and visibility levels, with no permission or type filter. Any logged-in user (including editors) can enumerate the slug space of private pages, drafts, and archived content. This issue is fixed in version 4.34.0.

CVSS 4.3 · Mittel · EPSS 0,3% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • apostrophe

    Softwareversionen
    • < 4.34.0: Betroffen

    Keine Korrektur veröffentlicht

  • apostrophe npm

    Betroffene Versionsbereiche
    • SEMVER: < 4.34.0

    Auf 4.34.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →