CVE-2026-113666

Nome do Software Vulnerável e Versões Afetadas @apostrophecms/db-connect versões 1.0.0 até 1.0.2 ApostropheCMS versões anteriores a 4.33.0

Description Um usuário autenticado com baixos privilégios e acesso view-draft pode causar a negação de serviço persistente em todo o processo em ambientes que utilizam adaptadores SQLite, PostgreSQL ou multipostgres. O problema ocorre quando um consumidor utiliza o endpoint REST GET de tipo de peça GET /api/v1/@apostrophecms/<piece-type> e envia um caminho de exclusão de projeção manipulado no construtor de consultas project. Especificamente, ao usar um caminho como constructor.prototype.hasOwnProperty, um invasor pode percorrer a cadeia de protótipos do construtor para alcançar um membro de protótipo compartilhado.

A função unsetNestedField() não valida os segmentos do caminho, permitindo que o operador delete remova um método de tempo de execução compartilhado do Object.prototype. Como esse protótipo é compartilhado por todo o processo Node.js, a exclusão interrompe o processamento de requisições para todos os usuários e locatários até que o processo seja reiniciado. O adaptador MongoDB padrão não é afetado, pois delega as projeções ao driver MongoDB nativo.

Recommendations Atualize o @apostrophecms/db-connect para a versão 1.1.0. Atualize o ApostropheCMS para a versão 4.33.0. Como mitigação temporária, utilize o adaptador MongoDB padrão ou restrinja o acesso à API autenticada nos endpoints REST de tipo de peça apenas a funções totalmente confiáveis.