CVE-2026-35569 in apostrophe
Resumen
por VulDB • 2026-05-20
ApostropheCMS es un sistema de gestión de contenidos (CMS) de código abierto basado en Node.js. Las versiones 4.28.0 y anteriores contienen una vulnerabilidad de cross-site scripting (XSS) almacenado en los campos relacionados con SEO (Título SEO y Descripción Meta), donde la entrada controlada por el usuario se representa sin una codificación de salida adecuada en contextos HTML, incluidas etiquetas, atributos y datos estructurados JSON-LD. Un atacante puede inyectar una carga útil como `">alert(1)` para escapar del contexto HTML previsto y ejecutar JavaScript arbitrario en el navegador de cualquier usuario autenticado que visualice la página afectada. Esto puede aprovecharse para realizar solicitudes de API autenticadas, acceder a datos sensibles como nombres de usuario, direcciones de correo electrónico y roles a través de APIs internas, y exfiltrarlos a un servidor controlado por el atacante. Este problema se ha corregido en la versión 4.29.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.