CVE-2026-113664

Nome do Software Vulnerável e Versões Afetadas Módulo import-export do ApostropheCMS versões anteriores a 3.7.0

Description Um usuário autenticado com privilégios de importação pode causar a negação de serviço ao fazer o upload de um arquivo tar especialmente manipulado. O problema ocorre porque o sistema utiliza uma verificação de substring literal para ../ para evitar a travessia de diretório, a qual pode ser burlada usando sequências como ./... Quando tal entrada é processada, o path.join normaliza o destino para um diretório fora do caminho de exportação pretendido. Como o fs.WriteStream na função extract() não possui um ouvinte de erro, a tentativa de abrir um diretório como um fluxo de gravação dispara um erro EISDIR não tratado, que encerra o processo do Node.js.

Recommendations Atualize o módulo import-export para a versão 3.7.0. Como medida de mitigação temporária, restrinja os privilégios de importação apenas a usuários confiáveis para minimizar o risco de um ataque de negação de serviço.