CVE-2026-45012
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
ApostropheCMS to otwartoźródłowy system zarządzania treścią oparty na Node.js. W wersjach do 4.29.0 w procesie importu widgetu rich-text występuje podatność na uwierzytelnione ataki SSRF, umożliwiająca atakującemu wymuszenie na serwerze pobrania kontrolowanych przez niego adresów URL.
Ocena ryzyka
Użytkownik z odpowiednimi uprawnieniami może wykorzystać tę podatność do wykradania danych poprzez pobieranie złośliwych treści, które mogą być następnie przechowywane i udostępniane przez ApostropheCMS.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ApostropheCMS, gdy tylko zostanie wydana poprawka. W międzyczasie należy ograniczyć dostęp do funkcji edycji widgetów tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
ApostropheCMS is an open-source Node.js content management system. Versions up to and including 4.29.0 contain an authenticated server-side request forgery (SSRF) in the rich-text widget import flow. An authenticated user who can submit/edit rich-text widget content can cause the server to fetch attacker-controlled URLs during widget validation. For image-compatible responses, the fetched content can be persisted and re-hosted by Apostrophe, allowing response exfiltration. As of time of publication, no known patched versions are available.