CVE-2026-35569 in apostrophe
Tóm tắt
Bởi VulDB • 20/05/2026
ApostropheCMS là một hệ thống quản lý nội dung (CMS) mã nguồn mở dựa trên Node.js. Các phiên bản 4.28.0 và các phiên bản trước đó chứa một lỗ hổng bảo mật lưu trữ (stored) liên quan đến tấn công Cross-Site Scripting (XSS) trong các trường liên quan đến SEO (Tiêu đề SEO và Mô tả Meta), trong đó dữ liệu đầu vào do người dùng kiểm soát được hiển thị mà không có mã hóa đầu ra phù hợp trong các ngữ cảnh HTML, bao gồm các thẻ, thuộc tính và dữ liệu có cấu trúc JSON-LD. Kẻ tấn công có thể chèn một payload như ">alert(1) để thoát khỏi ngữ cảnh HTML dự kiến và thực thi mã JavaScript tùy ý trên trình duyệt của bất kỳ người dùng đã xác thực nào xem trang bị ảnh hưởng. Lỗ hổng này có thể được khai thác để thực hiện các yêu cầu API đã xác thực, truy cập dữ liệu nhạy cảm như tên người dùng, địa chỉ email và vai trò thông qua các API nội bộ, và đánh cắp dữ liệu này gửi đến máy chủ do kẻ tấn công kiểm soát. Vấn đề này đã được khắc phục trong phiên bản 4.29.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.