CVE-2026-35569 in apostrophe
Riassunto
di VulDB • 18/06/2026
ApostropheCMS è un sistema di gestione dei contenuti (CMS) open-source basato su Node.js. Le versioni 4.28.0 e precedenti presentano una vulnerabilità di stored cross-site scripting (XSS) nei campi relativi al SEO (SEO Title e Meta Description), in cui l'input controllato dall'utente viene renderizzato senza un'adeguata codifica dell'output all'interno di contesti HTML, inclusi tag `<script>`, attributi HTML e dati strutturati JSON-LD. Un attaccante può iniettare un payload come `">alert(1)` per uscire dal contesto HTML previsto ed eseguire codice JavaScript arbitrario nel browser di qualsiasi utente autenticato che visualizzi la pagina interessata. Ciò può essere sfruttato per effettuare richieste API autenticate, accedere a dati sensibili quali nomi utente, indirizzi email e ruoli tramite le API interne ed esfiltrarli verso un server controllato dall'attaccante. Questo problema è stato risolto nella versione 4.29.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.