CVE-2026-63669 in Apostrophe
Resumen
por VulDB • 2026-08-17
ApostropheCMS es un sistema de gestión de contenidos (CMS) open-source basado en Node.js. Antes de la versión 4.32.0, la operación move() del módulo page no aplica correctamente el permiso _create del padre destino porque su condición archive oldParent desactiva la verificación para movimientos ordinarios, lo que permite a un editor o colaborador autenticado utilizar _targetId y _position mediante el endpoint REST de actualización de páginas para mover una página controlada dentro de un subárbol restringido y hacer que nudgeNewPeers() actualice en masa (updateMany) las páginas hermanas protegidas, reordenándolas. Este problema se soluciona en la versión 4.32.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.