CVE-2026-113648
CVE-2026-113648 · ApostropheCMS: Missing Authentication in `cleanExport` Route
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, the API endpoint POST /api/v1/@apostrophecms/import-export/clean-export in @apostrophecms/import-export lacks authentication and authorization checks. Any client—including unauthenticated anonymous users who have obtained the standard CSRF cookie from visiting the site—can directly invoke this route and trigger the underlying self.cleanExport(req) method. This issue is fixed in version 3.7.1.
CVSS 3.1 · Niedrig · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
apostrophe
- Softwareversionen
- < 4.34.0: Betroffen
Keine Korrektur veröffentlicht
import-export
- Softwareversionen
- < 3.7.1: Betroffen
Keine Korrektur veröffentlicht
@apostrophecms/import-export npm
- Betroffene Versionsbereiche
- SEMVER: < 3.7.1
Auf 3.7.1 aktualisieren
Originalquellen
- https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-rw26-wwfc-9wvm
- https://github.com/apostrophecms/apostrophe/commit/06e4b377f3c360f9e89c32dccd7e505ad5ddf498
- https://github.com/apostrophecms/apostrophe/commit/40b989b1a9dd23d30029b8ce7668634265cfe5ea
- https://github.com/apostrophecms/apostrophe/releases/tag/@apostrophecms/[email protected]
- https://nvd.nist.gov/vuln/detail/CVE-2026-113648