CVE-2026-113665

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.33.0

Description O módulo de notificação expõe endpoints REST PATCH e DELETE que realizam operações diretamente na coleção MongoDB subjacente sem verificar se o solicitante está autenticado ou se é o proprietário da notificação alvo. Um invasor não autenticado que possua um ID de notificação válido pode modificar ou excluir permanentemente notificações de outros usuários. Isso ocorre porque as funções patch() e delete() no módulo de notificação não implementam verificações de autenticação e propriedade, ao contrário da rota GET, que valida corretamente a sessão do usuário.

Recommendations Atualize para a versão 4.33.0. Como medida de mitigação temporária, restrinja o acesso aos endpoints REST do módulo de notificação para evitar solicitações PATCH e DELETE não autorizadas.