CVE-2026-63667 in Apostrophe
Riassunto
di VulDB • 17/08/2026
ApostropheCMS è un sistema di gestione dei contenuti open-source basato su Node.js. Prima della versione 3.6.2, il modulo import-export in packages/import-export/lib/formats/gzip.js costruisce un percorso sorgente per l'allegato a partire dai campi _id, name ed extension controllati dall'attaccante presenti nel file aposAttachments.json, senza garantire che il percorso risolto rimanga all'interno della directory degli allegati estratti. Ciò consente a un contributor autenticato di importare un archivio manipolato ad hoc, leggere un file dell'host con una estensione consentita e pubblicare il file copiato in un URL di upload non protetto da autenticazione. Questo problema è stato risolto nella versione 3.6.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.