VULNERABILIDAD
CVE-2026-113653 Acceso público a objetos de usuario de ApostropheCMS mediante relaciones sin aplicar viewRole
Antes de 4.33.0, viewRole no se aplica a visitantes anónimos cuando un desarrollador expone objetos de usuario mediante una relación renderizada públicamente o una API pública habilitada expresamente. Plantillas con límites inadecuados, incluida la serialización de un objeto de usuario relacionado completo, pueden revelar condicionalmente campos de usuario, pero las relaciones no publican automáticamente objetos de usuario completos y los hashes de contraseñas se almacenan por separado y no se ven afectados. Se…
Alerta de Nureq Monitor
Detectada 20 OCT · 14:30
CVSS 4.0
6.9MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 32
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-113653
Antes de 4.33.0, viewRole no se aplica a visitantes anónimos cuando un desarrollador expone objetos de usuario mediante una relación renderizada públicamente o una API pública habilitada expresamente. Plantillas con límites inadecuados, incluida la serialización de un objeto de usuario relacionado completo, pueden revelar condicionalmente campos de usuario, pero las relaciones no publican automáticamente objetos de usuario completos y los hashes de contraseñas se almacenan por separado y no se ven afectados. Se…
Productos y versiones afectadas
apostrophecms apostrophe
Qué hacer
- Verificá si usás apostrophe y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Baja
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Baja
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Baja
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, viewRole is not applied to anonymous visitors when a developer exposes user objects through a publicly rendered relationship or expressly enabled public API. Inadequately limited templates, including serialization of an entire related user object, can conditionally disclose user fields, but relationships do not automatically publish full user objects and password hashes are stored separately and are not affected. This issue is fixed in version 4.33.0.
Referencias
- github.com/apostrophecms/apostrophe/security/advisories/GHSA-xf6w-q65w-4f2wX_REFSOURCE_CONFIRM
- github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ceX_REFSOURCE_MISC
- github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350X_REFSOURCE_MISC
- github.com/apostrophecms/apostrophe/releases/tag/[email protected]X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.