CVE-2026-113668

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.33.0

Descrição Os endpoints REST 'GET /api/v1//: id/locales' e 'GET /api/v1/@apostrophecms/page/: id/locales' não aplicam o gate de autorização publicApiCheckAsync utilizado por outras rotas de leitura. Isso permite que um chamador não autenticado consulte a variável id de qualquer documento para determinar se o documento existe e identificar os locais nos quais ele está publicado, resultando na divulgação da existência do documento e de metadados de localidade.

Recomendações Atualize para a versão 4.33.0. Como medida paliativa temporária, restrinja o acesso aos endpoints 'GET /api/v1//: id/locales' e 'GET /api/v1/@apostrophecms/page/: id/locales' para minimizar o risco de divulgação de metadados.