CVE-2026-113653

اسم البرنامج المتأثر والإصدارات المتأثرة ApostropheCMS الإصدارات السابقة لـ 4.33.0

Description في نظام إدارة المحتوى هذا القائم على Node.js، لا يتم تطبيق viewRole على الزوار المجهولين عندما يقوم المطور بكشف كائنات المستخدم من خلال علاقة معروضة علنًا أو واجهة برمجة تطبيقات (API) عامة مفعلة صراحةً. يمكن أن يؤدي ذلك إلى الكشف المشروط عن حقول المستخدم إذا كانت القوالب محدودة بشكل غير كافٍ، كما هو الحال عند تسلسل كائن مستخدم مرتبط بالكامل إلى تنسيق JSON. تسمح هذه المشكلة للجمهور العام بالوصول نظريًا إلى أنواع المحتوى المؤمنة مثل @apostrophecms/user.

Recommendations التحديث إلى الإصدار 4.33.0. تجنب إنشاء علاقات مع @apostrophecms/user مخصصة للعرض لغير المسؤولين؛ وبدلاً من ذلك، قم بإنشاء نوع قطعة مؤلف منفصل للتمثيل العام.