CVE-2026-112951 in ApostropheCMS
Résumé
par VulDB • 20/10/2026
ApostropheCMS est un système de gestion de contenu open-source basé sur Node.js. Avant la version 4.34.0, le champ couleur accepte du contenu en fin de chaîne après un préfixe rgb() ou hsl() valide car sa validation TinyColor ne nécessite pas que l'intégralité de la valeur corresponde à une couleur. Un utilisateur authentifié disposant des droits d'édition peut stocker du HTML arbitraire après un préfixe de couleur valide. Lorsque la valeur stockée est rendue, le payload s'exécute, ce qui entraîne une XSS persistante (stored XSS). Ce problème est corrigé dans la version 4.34.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.