CVE-2026-113710

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.33.0

Description O endpoint de alteração de senha via autoatendimento verifica a senha atual, mas não utiliza o contador de tentativas falhas, limite de taxa (throttle), atraso ou mecanismo de bloqueio do módulo de login. Um invasor com uma sessão autenticada válida pode enviar repetidas tentativas de adivinhação da senha atual sem receber uma resposta de bloqueio ou limitação. Se a senha atual for fraca ou reutilizada, isso pode permitir que o invasor passe na verificação da senha atual e altere a senha da conta, resultando no sequestro da conta. Este problema ocorre no endpoint 'PATCH /api/v1/@apostrophecms/settings/password' ao processar a variável passwordCurrent através da função handlePasswordProtectedSubform().

Recommendations Atualize o ApostropheCMS para a versão 4.33.0.