CVE-2026-63669

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 4.32.0

Descrição A operação move() do módulo de página falha ao aplicar a permissão create do pai de destino. Isso ocorre porque a condição de arquivo oldParent desativa a verificação para movimentações comuns. Consequentemente, um editor ou contribuidor autenticado pode utilizar as variáveis targetId e position através do endpoint de atualização REST de página para mover uma página sob seu controle para uma subárvore restrita. Esta ação permite que a operação updateMany da função nudgeNewPeers() reclassifique páginas irmãs protegidas.

Recomendações Atualizar para a versão 4.32.0.