CVE-2026-113655

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.33.0

Description Um editor autenticado com direitos de edição legítimos em uma página aninhada sob um pai restrito pode manipular a ordenação de irmãos de outras páginas sob esse mesmo pai. Isso ocorre porque a função move() no módulo @apostrophecms/page não impõe a autorização de create quando uma página é reposicionada entre seus irmãos existentes (reordenação do mesmo pai), ignorando as verificações exigidas para movimentações entre pais diferentes. Isso permite que um usuário com baixos privilégios acione uma gravação em massa no banco de dados não protegida através da função nudgeNewPeers(), que modifica a variável rank de documentos irmãos sem verificar a autoridade do editor sobre eles. Este problema é acessível através do endpoint PATCH /api/v1/@apostrophecms/page/<myPageId>:en:draft utilizando os parâmetros targetId e position.

Recommendations Atualize para a versão 4.33.0. Como mitigação temporária, evite aninhar páginas editáveis por editores sob pais de tipo restrito. Restrinja o uso dos parâmetros targetId e position no endpoint /api/v1/@apostrophecms/page/ para usuários sem privilégios administrativos.