CVE-2026-113662

Nome do Software Vulnerável e Versões Afetadas @apostrophecms/import-export versões anteriores a 3.7.0

Description Um usuário autenticado com acesso de importação a um tipo de destino pode manipular o recurso de atualização por chave para modificar documentos que não identificou explicitamente. As funções getUpdateKey() e insertOrUpdateDocWithKey() em lib/methods/import.js usam o valor de uma propriedade de chave de atualização diretamente como um valor de consulta MongoDB sem a sanitização adequada. Como os documentos de arquivo são analisados com EJSON, um invasor pode fornecer um operador MongoDB, como { $ne: null }, em vez de uma string simples. Isso faz com que a consulta de importação corresponda e sobrescreva um documento existente para o qual o usuário possui permissões de edição genéricas, em vez de falhar ao encontrar uma correspondência ou inserir um novo documento. O filtro de permissão findForEditing limita o escopo dos documentos afetados, impedindo a sobrescrita de conteúdo protegido arbitrário.

Recommendations Atualize o @apostrophecms/import-export para a versão 3.7.0.