CVE-2026-113655

اسم البرنامج المصاب والإصدارات المتأثرة ApostropheCMS الإصدارات السابقة لـ 4.33.0

Description يمكن لمحرر مصرح له يمتلك حقوق تحرير مشروعة لصفحة متداخلة تحت أب مقيد التلاعب بترتيب الأشقاء لصفحات أخرى تحت نفس الأب. يحدث هذا لأن الدالة move() في وحدة @apostrophecms/page تفشل في فرض تفويض create عندما يتم إعادة تموضع الصفحة بين أشقائها الحاليين (إعادة ترتيب لنفس الأب)، مما يتجاوز الفحوصات المطلوبة لعمليات النقل بين آباء مختلفين. يسمح هذا لمستخدم ذو صلاحيات منخفضة بتفعيل عملية كتابة جماعية غير محمية في قاعدة البيانات عبر الدالة nudgeNewPeers()، والتي تقوم بتعديل متغير rank للمستندات الشقيقة دون التحقق من سلطة المحرر عليها. يمكن الوصول إلى هذه المشكلة عبر نقطة النهاية PATCH /api/v1/@apostrophecms/page/<myPageId>:en:draft باستخدام المعاملات targetId و position.

Recommendations التحديث إلى الإصدار 4.33.0. كإجراء تخفيف مؤقت، تجنب تداخل الصفحات التي يمكن للمحررين تعديلها تحت آباء من أنواع مقيدة. تقييد استخدام المعاملات targetId و position في نقطة النهاية /api/v1/@apostrophecms/page/ للمستخدمين الذين لا يملكون صلاحيات إدارية.