CVE-2026-113666

اسم البرنامج المصاب والإصدارات المتأثرة @apostrophecms/db-connect الإصدارات من 1.0.0 إلى 1.0.2 ApostropheCMS الإصدارات السابقة لـ 4.33.0

Description يمكن لمستخدم مصادق عليه بصلاحيات منخفضة ولديه وصول view-draft أن يتسبب في حالة رفض خدمة مستمرة على مستوى العملية بالكامل في البيئات التي تستخدم محولات SQLite أو PostgreSQL أو multipostgres. تحدث هذه المشكلة عندما يستخدم المستهلك نقطة نهاية REST GET من نوع القطعة GET /api/v1/@apostrophecms/<piece-type> ويرسل مسار استبعاد إسقاط تم التلاعب به في منشئ استعلامات project. وتحديداً، من خلال استخدام مسار مثل constructor.prototype.hasOwnProperty ، يمكن للمهاجم الانتقال عبر سلسلة نماذج المنشئ للوصول إلى عضو نموذج مشترك.

تفشل الدالة unsetNestedField() في التحقق من صحة مقاطع المسار، مما يسمح لمشغل delete بإزالة طريقة وقت تشغيل مشتركة من Object.prototype. ونظراً لأن هذا النموذج مشترك عبر عملية Node.js بأكملها، فإن الحذف يؤدي إلى تعطل معالجة الطلبات لجميع المستخدمين والمستأجرين حتى يتم إعادة تشغيل العملية. لا يتأثر محول MongoDB الافتراضي لأنه يفوض عمليات الإسقاط إلى برنامج تشغيل MongoDB الأصلي.

Recommendations تحديث @apostrophecms/db-connect إلى الإصدار 1.1.0. تحديث ApostropheCMS إلى الإصدار 4.33.0. كإجراء تخفيف مؤقت، استخدم محول MongoDB الافتراضي أو قيد الوصول إلى واجهة برمجة التطبيقات المصادق عليها في نقاط نهاية REST من نوع القطعة لتقتصر على الأدوار الموثوقة تماماً.