ApostropheCMS: уязвимость CVE-2026-112956 позволяет авторам перезаписывать опубликованный контент

Команда CVE Project опубликовала информацию об уязвимости CVE-2026-112956 в открытой Node.js-системе управления контентом ApostropheCMS. Проблема связана с механизмом продолжения импорта при обнаружении дубликатов и позволяет пользователю с ограниченными правами повлиять на опубликованные материалы.

Подробности

Уязвимость затрагивает модуль @apostrophecms/import-export продукта apostrophecms apostrophe в версиях до 3.7.1. При продолжении импорта дубликатов система принимает от клиента выбор варианта замены, не привязывая его к серверному анализу, выполненному от имени этого же пользователя, и не проверяя авторизацию для канонического целевого документа. В результате на локализованном типе контента с включённым импортом контрибьютор, обладающий правом редактирования черновиков, может выбрать для замены уже опубликованный документ и тем самым пересечь границу публикации.

Уровень опасности по шкале CVSS составляет 6.5 (MEDIUM). Следует отметить, что текущая оценка основана на анализе исправления, а не на повторном сквозном воспроизведении эксплойта. Уязвимость исправлена в версии 3.7.1.

Что делать

Рекомендуется обновить модуль @apostrophecms/import-export до версии 3.7.1 или более поздней. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные митигации: ограничить доступ к функциям импорта для ролей с правами редактирования черновиков, а также проверить, какие типы контента имеют одновременно включённый импорт и локализацию, и при необходимости временно отключить импорт для них. Дополнительно стоит проверить журналы операций импорта на предмет подозрительных замен опубликованных документов.

Уязвимость требует наличия у атакующего учётной записи с правом редактирования черновиков, поэтому в первую очередь она актуальна для инсталляций с широким кругом контрибьюторов. Тем не менее последствия — несанкционированное изменение опубликованного контента — могут быть существенными для репутации и достоверности материалов сайта.

Своевременное обновление до 3.7.1 закрывает проблему; организациям, использующим ApostropheCMS с модулем импорта, рекомендуется включить патч в ближайший цикл обслуживания.

Источник: CVE Project (cvelistV5)