CVE-2026-113711 Agotamiento de recursos no autenticado en @apostrophecms/import-export de ApostropheCMS

Qué es CVE-2026-113711

En ApostropheCMS anterior a 4.33.0 y el módulo import-export anterior a 3.7.0, las rutas de importación invocan bigUploadMiddleware sin un callback de autorización temprano. Así, solicitudes no autenticadas pueden realizar la inicialización de la carga, el almacenamiento de fragmentos, el procesamiento temporal y el trabajo de limpieza declarado por el atacante antes de que la verificación posterior de usuario rechace la importación. Se corrige en ApostropheCMS 4.33.0 e import-export 3.7.0.

Productos y versiones afectadas

• apostrophecms apostrophe

  • < 4.33.0

• @apostrophecms import-export

  • < 3.7.0

Qué hacer

1. Verificá si usás apostrophe y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0 of ApostropheCMS and 3.7.0 of the import-export module, import routes invoke bigUploadMiddleware without an early authorize callback, allowing unauthenticated requests to perform upload initialization, chunk storage, temporary processing, and attacker-declared cleanup work before the later user check rejects the import. This issue is fixed in ApostropheCMS 4.33.0 and import-export 3.7.0.

Referencias

• github.com/apostrophecms/apostrophe/security/advisories/GHSA-86wm-68pq-5jwqX_REFSOURCE_CONFIRM
• github.com/apostrophecms/apostrophe/commit/9500b8b0e1d630d5e07fbb5fd2c25ed0943845ceX_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/commit/f84fd41cbf6c22eb8d0008fc9c25df1f7130b350X_REFSOURCE_MISC
• github.com/apostrophecms/apostrophe/releases/tag/[email protected]X_REFSOURCE_MISC

Historial de la alerta

1. 20 OCT · 16:11VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.