CVE-2026-113659 in ApostropheCMS
Riassunto
di VulDB • 22/10/2026
ApostropheCMS è un sistema di gestione dei contenuti open-source basato su Node.js. Prima della versione 4.33.0, un attaccante non autenticato può inviare un link con una query string che viene automaticamente analizzata da `apos.http.parseQuery` quando una vittima autenticata carica una pagina contenente il bundle amministrativo (admin bundle). Il parser accetta le chiavi di percorso speciali `__proto__`, `constructor` e `prototype`, consentendo la mutazione del prototype dell'browser, che può raggiungere un sink DOM non sicuro ed eseguire script nella sessione della vittima; i visitatori anonimi non caricano il contesto admin interessato. Questo problema è stato risolto nella versione 4.33.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.