CVE-2026-113656

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS Form versões anteriores a 1.5.5

Description O endpoint de envio de formulários '/api/v1/@apostrophecms/form/submit' processa uploads multipart ilimitados usando a função multer() antes de realizar a autenticação, verificação de chave de API ou lógica de existência do formulário. O sistema carece de limites de tamanho de upload, contagem de arquivos e taxas de requisição. Usuários não autenticados podem transmitir corpos de requisição volumosos para o armazenamento temporário em disco, o que pode esgotar o sistema de arquivos /tmp e saturar o event loop, resultando em uma negação de serviço (DoS) remota que interrompe o processamento de formulários e outros serviços do host.

Recommendations Atualize o ApostropheCMS Form para a versão 1.5.5. Como mitigação temporária, restrinja o acesso ao endpoint '/api/v1/@apostrophecms/form/submit' ou implemente a limitação de taxa por IP no nível da rede.