VULNERABILIDAD
CVE-2026-113667 Token de respuesta CAPTCHA sin codificar en URL en ApostropheCMS
En ApostropheCMS, las integraciones CAPTCHA de Form anterior a 1.5.5, login-recaptcha anterior a 1.2.1 y login-hcaptcha anterior a 1.3.0 interpolan un token de respuesta proporcionado por el usuario sin codificar en la solicitud de verificación al proveedor. Tokens manipulados pueden introducir parámetros adicionales y alterar la verificación CAPTCHA y los flujos de formulario o inicio de sesión protegidos por CAPTCHA; no se establece que se logre una evasión del CAPTCHA ni la divulgación de secretos. Se corrige…
Alerta de Nureq Monitor
Detectada 20 OCT · 16:11
CVSS 4.0
5.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 28
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-113667
En ApostropheCMS, las integraciones CAPTCHA de Form anterior a 1.5.5, login-recaptcha anterior a 1.2.1 y login-hcaptcha anterior a 1.3.0 interpolan un token de respuesta proporcionado por el usuario sin codificar en la solicitud de verificación al proveedor. Tokens manipulados pueden introducir parámetros adicionales y alterar la verificación CAPTCHA y los flujos de formulario o inicio de sesión protegidos por CAPTCHA; no se establece que se logre una evasión del CAPTCHA ni la divulgación de secretos. Se corrige…
Productos y versiones afectadas
apostrophecms apostrophe
@apostrophecms form
@apostrophecms login-hcaptcha
@apostrophecms login-recaptcha
Qué hacer
- Verificá si usás apostrophe y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Baja
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Baja
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Baja
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
ApostropheCMS is an open-source Node.js content management system. Prior to 1.5.5 of the Form add-on, 1.2.1 of login-recaptcha, and 1.3.0 of login-hcaptcha, these three CAPTCHA integrations interpolate an unencoded user-supplied response token into the provider verification request. Crafted tokens can smuggle request parameters and disrupt CAPTCHA verification and CAPTCHA-gated form or login flows; automated bypass probing is possible, but a successful CAPTCHA bypass or secret disclosure is not established. This issue is fixed in Form 1.5.5, login-recaptcha 1.2.1, and login-hcaptcha 1.3.0.
Referencias
- github.com/apostrophecms/apostrophe/security/advisories/GHSA-44qr-rrjg-2cqqX_REFSOURCE_CONFIRM
- github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ceX_REFSOURCE_MISC
- github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350X_REFSOURCE_MISC
- github.com/apostrophecms/apostrophe/releases/tag/@apostrophecms/[email protected]X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.