CVE-2026-63667

Nome do Software Vulnerável e Versões Afetadas ApostropheCMS versões anteriores a 3.6.2

Description O módulo de importação e exportação em packages/import-export/lib/formats/gzip.js não valida adequadamente se o caminho de origem do anexo resolvido permanece dentro do diretório de anexos extraídos. Um contribuidor autenticado pode explorar isso importando um arquivo compactado manipulado com campos id, name e extension alterados no arquivo aposAttachments.json. Este traversal de caminho permite que o invasor leia arquivos do host com extensões permitidas e os publique por meio de uma URL de uploads não autenticada.

Recommendations Atualizar para a versão 3.6.2.