CVE-2026-71553
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
ApostropheCMS to system zarządzania treścią oparty na Node.js. W wersji 4.32.0 i wcześniejszych, PATCH /api/v1/article/:id akceptuje dziedziczoną ścieżkę toString.call i przekazuje ją przez moduł narzędziowy do apos.util.set() i apos.util.get(), co pozwala uwierzytelnionemu edytorowi nadpisać właściwość call funkcji Object.prototype.toString i spowodować trwałą awarię procesu (denial of service) do czasu restartu.
Ocena ryzyka
Podatność umożliwia uwierzytelnionemu użytkownikowi z rolą edytora spowodowanie trwałej awarii usługi, co może zakłócić dostępność systemu CMS. Atak wymaga jednak uwierzytelnienia.
Rekomendacja
Zaleca się aktualizację ApostropheCMS do wersji nowszej niż 4.32.0. Należy również ograniczyć uprawnienia edytorów i monitorować nietypowe żądania PATCH.
Oryginalny opis (angielski, źródło NVD)
ApostropheCMS is an open-source Node.js content management system. In 4.32.0 and earlier, PATCH /api/v1/article/:id accepts the inherited path toString.call and passes it through the utility module to apos.util.set() and apos.util.get(), allowing an authenticated editor to overwrite the shared Object.prototype.toString function's call property and cause a persistent process-wide denial of service until restart.