CVE-2026-33888

Name of the Vulnerable Software and Affected Versions ApostropheCMS versões anteriores a 4.29.0

Description Existe um bypass de autorização na função getRestQuery() do módulo @apostrophecms/piece-type. A função verifica se uma projeção MongoDB já foi definida antes de aplicar a publicApiProjection configurada pelo administrador. Um invasor não autenticado pode fornecer um parâmetro de consulta project em uma requisição de API REST, que é processado por applyBuildersSafely() antes da verificação de permissão. Isso pré-popula o estado da projeção, fazendo com que o sistema ignore completamente a publicApiProjection. Consequentemente, isso permite a divulgação de qualquer campo em documentos consultáveis publicamente que o administrador restringiu explicitamente da API pública, como notas internas, conteúdo de rascunho ou metadados.

Recommendations Atualizar para a versão 4.29.0.