CVE-2026-113665

اسم البرنامج المصاب والإصدارات المتأثرة ApostropheCMS الإصدارات السابقة لـ 4.33.0

Description يكشف نموذج الإشعارات عن نقاط نهاية REST من نوع PATCH و DELETE تقوم بإجراء عمليات مباشرة على مجموعة MongoDB الأساسية دون التحقق من أن مقدم الطلب مصرح له أو يملك الإشعار المستهدف. يمكن لمهاجم غير مصرح له، في حال حصوله على معرف إشعار صالح، تعديل أو حذف إشعارات مستخدمين آخرين بشكل دائم. يحدث هذا لأن الدالتين patch() و delete() في نموذج الإشعارات لا تطبقان فحوصات المصادقة والملكية، على عكس مسار GET الذي يتحقق بشكل صحيح من جلسة المستخدم.

Recommendations التحديث إلى الإصدار 4.33.0. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقاط نهاية REST الخاصة بنموذج الإشعارات لمنع طلبات PATCH و DELETE غير المصرح بها.