p PatchFirst

CVE-2026-113652

CVE-2026-113652 · ApostropheCMS uploadfs Azure backend leaks account-level SAS token into every public attachment URL (sas: true)

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

ApostropheCMS is an open-source Node.js content management system. From 1.25.0 until 1.28.0, uploadfs Azure backend leaks account-level SAS token into every public attachment URL. When uploadfs is configured with the Azure backend and sas: true, createContainer() builds the BlobServiceClient from a URL that embeds the full SAS query string, and Azure SDK v12 derived clients inherit that query string. This issue is fixed in version 1.28.0.

CVSS 5.6 · Media · EPSS 0,3% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • apostrophe

    Versiones
    • < 4.33.0: Afectada

    Sin corrección publicada

  • uploadfs

    Versiones
    • >= 1.25.0, < 1.28.0: Afectada

    Sin corrección publicada

  • uploadfs npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 1.25.0, < 1.28.0

    Actualiza a 1.28.0

Fuentes originales

Comprueba tu servidor →