CVE-2026-113671 in Apostrophe AI Helper
Zusammenfassung
von VulDB • 20.10.2026
ApostropheCMS ist ein Open-Source-CMS (Content Management System) auf Node.js-Basis. Von der Version 1.0.0-beta.10 bis zur Version 1.0.0-beta.13 des AI-Helpers kann ein Editor mit Bildgenerierungsfunktion einen base64-kodierten Bilddatensatz ohne eine gespeicherte Provider-URL erstellen und die Bildannahme auf einer Bereitstellung unter Verwendung eines lokalen relativen Speichers ohne vertrauenswürdige globale Basis-URL aufrufen. Der Server löst den festen Upload-Pfad gegen eine anfragekontrollierte, vom Host abgeleitete Ursprungsadresse (Origin) auf, was begrenzte serverseitige Anfragen zu einem von dem Angreifer ausgewählten Host, Port und HTTP-Origin ermöglicht, jedoch keinen Zugriff auf beliebige Pfade oder die Konfigurationen für gespeicherte Provider und absoluten Speicher. Dieses Problem wurde in AI helper 1.0.0-beta.13 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.