CVE-2026-113653

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.33.0

Description Neste sistema de gerenciamento de conteúdo Node.js, o viewRole não é aplicado a visitantes anônimos quando um desenvolvedor expõe objetos de usuário por meio de um relacionamento renderizado publicamente ou de uma API pública expressamente habilitada. Isso pode levar à divulgação condicional de campos de usuário se os modelos forem inadequadamente limitados, como quando um objeto de usuário relacionado inteiro é serializado em JSON. Este problema permite que o público em geral possa, teoricamente, acessar tipos de conteúdo protegidos, como @apostrophecms/user.

Recommendations Atualize para a versão 4.33.0. Evite criar relacionamentos com @apostrophecms/user destinados à exibição para não administradores; em vez disso, crie um tipo de peça de autor separado para representação pública.