CVE-2026-53609
Publiée le 2026-06-12 · Dernière modification le 2026-10-25
Les versions 4.30.0 et antérieures d'ApostropheCMS sont affectées par une faille de pollution de prototype. Un attaquant disposant d'identifiants de niveau éditeur peut envoyer une requête spécialement conçue pour contourner l'autorisation sur tous les points de terminaison de l'API REST de type « piece », accordant ainsi un accès non authentifié à ces points de terminaison tant que le processus du serveur est actif. Cette exploitation est facile à exécuter via le réseau, à condition que l'attaquant possède un compte avec des privilèges restreints.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ApostropheCMS is an open-source Node.js content management system. In versions up to and including 4.30.0, `apos.util.set()` traverses dot-notation paths without sanitizing `__proto__`, allowing an authenticated editor to write arbitrary values to `Object.prototype` via the `$pullAll` patch operator. A confirmed gadget in `publicApiCheck()` causes this to bypass authorization on all piece-type REST API endpoints for every subsequent unauthenticated request, for the lifetime of the Node.js process. As of time of publication, no known patched versions are available.