CVE-2026-113666 Denegación de servicio en ApostropheCMS por eliminación de miembro de prototipo vía exclusión de proyección

Qué es CVE-2026-113666

En ApostropheCMS anterior a 4.33.0 y db-connect anterior a 1.1.0, una cuenta con acceso view-draft puede enviar una ruta de exclusión de proyección que atraviesa la cadena de prototipos de un constructor hasta un miembro compartido, cuando el consumidor usa un adaptador SQLite, PostgreSQL o multipostgres y tiene un documento coincidente. El helper unsetNestedField elimina entonces el miembro compartido en tiempo de ejecución, con efectos persistentes de integridad y disponibilidad en todo el proceso; el adaptador…

Productos y versiones afectadas

• apostrophecms apostrophe

  • < 4.33.0

• @apostrophecms db-connect

  • < 1.1.0

Qué hacer

1. Verificá si usás apostrophe y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

ApostropheCMS is an open-source Node.js content management system. Prior to 1.1.0 of db-connect and 4.33.0 of ApostropheCMS, an account with view-draft access can submit a projection exclusion path that traverses through a constructor prototype chain to a shared prototype member when a consumer uses a SQLite, PostgreSQL, or multipostgres adapter and has a matching document. Every editing role has view-draft access, while guestApiAccess broadens this prerequisite to any logged-in account. The unsetNestedField helper then deletes the shared runtime member, causing persistent process-wide integrity and availability effects; the default MongoDB adapter is not affected. This issue is fixed in db-connect 1.1.0 and ApostropheCMS 4.33.0.

Referencias

• github.com/apostrophecms/apostrophe/security/advisories/GHSA-j5rq-xfvr-p969X_REFSOURCE_CONFIRM
• github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ceX_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350X_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/releases/tag/@apostrophecms/[email protected]X_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/releases/tag/[email protected]X_REFSOURCE_MISC

Historial de la alerta

1. 20 OCT · 16:11VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.