CVE-2026-113660

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.33.0

Description Um problema na API exist-in-locale permite que um usuário autenticado de baixo privilégio determine se documentos restritos existem em um idioma (locale) e modo específicos, incluindo o modo de rascunho. O endpoint retorna identificadores de documentos localizados sem aplicar critérios de autorização de visualização ou edição ao nível do documento, funcionando efetivamente como um oráculo de existência. Isso permite que um invasor sonde IDs base de documentos arbitrários, identifique versões de rascunho não publicadas e realize reconhecimento em massa enviando vários IDs em uma única requisição.

API Endpoint: POST /api/v1/@apostrophecms/i18n/exist-in-locale Vulnerable Parameters: ids, locale e mode

Recommendations Atualize para a versão 4.33.0. Como medida paliativa temporária, restrinja o acesso ao endpoint POST /api/v1/@apostrophecms/i18n/exist-in-locale apenas a usuários com altos privilégios.