CVE-2026-113662

اسم البرنامج المصاب والإصدارات المتأثرة @apostrophecms/import-export الإصدارات السابقة لـ 3.7.0

Description يمكن لمستخدم مصرح له لديه صلاحية الاستيراد لنوع مستهدف التلاعب بميزة التحديث بواسطة المفتاح (update-by-key) لتعديل مستندات لم يحددها صراحةً. تستخدم الدالتان getUpdateKey() و insertOrUpdateDocWithKey() في lib/methods/import.js قيمة خاصية مفتاح التحديث مباشرة كقيمة استعلام MongoDB دون تطهير مناسب. نظرًا لأن مستندات الأرشيف يتم تحليلها باستخدام EJSON، يمكن للمهاجم تقديم عامل تشغيل MongoDB، مثل { $ne: null } بدلاً من سلسلة نصية بسيطة. يؤدي هذا إلى جعل استعلام الاستيراد يطابق ويقوم بتحديث مستند موجود يمتلك المستخدم صلاحيات تحرير عامة عليه، بدلاً من الفشل في العثور على تطابق أو إدراج مستند جديد. يحد فلتر التصريح findForEditing من نطاق المستندات المتأثرة، مما يمنع الكتابة فوق المحتوى المحمي بشكل عشوائي.

Recommendations تحديث @apostrophecms/import-export إلى الإصدار 3.7.0.