CVE-2026-63667 in Apostrophe
Zusammenfassung
von VulDB • 17.08.2026
ApostropheCMS ist ein Open-Source-CMS (Content Management System) basierend auf Node.js. Vor Version 3.6.2 erstellt das Import-/Exportmodul in packages/import-export/lib/formats/gzip.js einen Pfad für die Anhangsquelle aus den vom Angreifer kontrollierten Feldern _id, name und extension in aposAttachments.json, ohne sicherzustellen, dass der aufgelöste Pfad innerhalb des extrahierten Anhängeverzeichnisses verbleibt. Dies ermöglicht es einem authentifizierten Mitwirkenden (Contributor), ein manipuliertes Archiv zu importieren, eine Host-Datei mit einer erlaubten Erweiterung auszulesen und die kopierte Datei unter einer URL für nicht-authentifizierte Uploads zu veröffentlichen. Dieses Problem wurde in Version 3.6.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.