VULNERABILIDAD
CVE-2026-113710 Falta de limitación de intentos en el cambio de contraseña autenticado de ApostropheCMS
El endpoint de cambio de contraseña autenticado de ApostropheCMS verifica la contraseña actual pero no usa el contador de intentos fallidos, el throttle ni el bloqueo del módulo de login. Un atacante con una sesión autenticada válida puede probar contraseñas actuales de forma repetida sin recibir bloqueo ni limitación. Corregido en la versión 4.33.0.
Alerta de Nureq Monitor
Detectada 20 OCT · 16:11
CVSS 3.1
5.9MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 23
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-113710
El endpoint de cambio de contraseña autenticado de ApostropheCMS verifica la contraseña actual pero no usa el contador de intentos fallidos, el throttle ni el bloqueo del módulo de login. Un atacante con una sesión autenticada válida puede probar contraseñas actuales de forma repetida sin recibir bloqueo ni limitación. Corregido en la versión 4.33.0.
Productos y versiones afectadas
apostrophecms apostrophe
Qué hacer
- Verificá si usás apostrophe y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Altos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the self-service password-change endpoint verifies the current password but does not use the login module’s failed-attempt counter, throttle, delay, or lockout mechanism. An attacker with a valid authenticated session can submit repeated guesses for the current password without receiving a lockout or throttle response. This issue is fixed in version 4.33.0.
Referencias
- github.com/apostrophecms/apostrophe/security/advisories/GHSA-653j-g8j7-gh54X_REFSOURCE_CONFIRM
- github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ceX_REFSOURCE_MISC
- github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350X_REFSOURCE_MISC
- github.com/apostrophecms/apostrophe/releases/tag/[email protected]X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.