CVE-2026-113668 Divulgación de existencia de documentos y metadatos de locales en la ruta REST :_id/locales de ApostropheCMS

Qué es CVE-2026-113668

En ApostropheCMS anterior a 4.33.0, la ruta REST GET /api/v1/piece-type/:_id/locales (y la ruta equivalente de páginas) no aplica la verificación publicApiCheckAsync que exigen las demás rutas de lectura. Un llamador no autenticado puede consultar cualquier _id de documento y saber si existe y en qué locales está publicado, información que la API de lectura debería restringir. Se corrige en la versión 4.33.0.

Productos y versiones afectadas

• apostrophecms apostrophe

  • < 4.33.0

Qué hacer

1. Verificá si usás apostrophe y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the REST route GET /api/v1/<piece-type>/:_id/locales (and the equivalent page route) does not apply the publicApiCheckAsync gate that ApostropheCMS's other read routes enforce. An unauthenticated caller can therefore query this route for any document _id and learn whether the document exists and which locales it is published in — a document-existence and locale-metadata disclosure that the read-API is otherwise supposed to gate. This issue is fixed in version 4.33.0.

Referencias

• github.com/apostrophecms/apostrophe/security/advisories/GHSA-gqh3-7856-rjjgX_REFSOURCE_CONFIRM
• github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ceX_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350X_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/releases/tag/[email protected]X_REFSOURCE_MISC

Historial de la alerta

1. 20 OCT · 16:11VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.