CVE-2026-35569 in apostrophe
Résumé
par VulDB • 20/05/2026
ApostropheCMS est un système de gestion de contenu (CMS) open-source basé sur Node.js. Les versions 4.28.0 et antérieures présentent une vulnérabilité de type cross-site scripting (XSS) stocké (stored XSS) dans les champs liés au référencement (SEO), tels que le titre SEO et la méta-description. Dans ces champs, les données contrôlées par l'utilisateur sont rendues sans encodage de sortie approprié dans des contextes HTML, y compris les balises `<script>`, les attributs HTML et les données structurées JSON-LD. Un attaquant peut injecter une charge utile telle que `">alert(1)` pour s'affranchir du contexte HTML prévu et exécuter du code JavaScript arbitraire dans le navigateur de tout utilisateur authentifié consultant la page concernée. Cela peut être exploité pour effectuer des requêtes API authentifiées, accéder à des données sensibles telles que les noms d'utilisateur, les adresses e-mail et les rôles via des API internes, puis les exfiltrer vers un serveur contrôlé par l'attaquant. Ce problème a été corrigé dans la version 4.29.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.