CVE-2026-113659

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões 3.x e 4.0.0 até 4.32.2

Description Um problema de poluição de protótipo (prototype pollution) no lado do cliente existe na função apos.http.parseQuery(). O analisador não sanitiza as chaves proto, constructor e prototype ao processar strings de consulta de URL. Um invasor não autenticado pode enviar um link manipulado para um usuário autenticado; quando a vítima carrega uma página com o pacote de administração, a string de consulta é analisada automaticamente, permitindo que o invasor escreva propriedades arbitrárias em Object.prototype.

Essa poluição pode ser escalada para um Cross-Site Scripting (XSS) baseado em DOM porque a interface de administração é construída com Vue. Uma propriedade enumerável poluída, como innerHTML, é capturada pela rotina de montagem de elementos do Vue e gravada no DOM, executando JavaScript arbitrário na sessão da vítima. Isso afeta qualquer usuário logado, desde a função guest até a função admin.

Recommendations Atualize o ApostropheCMS para a versão 4.33.0. Como mitigação temporária, restrinja o número de usuários com contas autenticadas e oriente os usuários a não abrirem links não confiáveis enquanto estiverem logados.