Anmelden
Deutsch English Español Polski
Mittel

Cross-site Scripting in apostrophe

  • Veröffentlicht: 10.11.2021
  • Aktualisiert: 11.10.2026 10:22

Apostrophe CMS versions between 2.63.0 to 3.3.1 are vulnerable to Stored XSS where an editor uploads an SVG file that contains malicious JavaScript onto the Images module, which triggers XSS once viewed.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket apostrophe >= 2.63.0, < 3.4.0 3.4.0

Verweise

CVSS-Wert 5.4/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE)
CWE-79
Plattform
npm
Paket
apostrophe
Veröffentlicht
10.11.2021
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-4r9c-jghc-cx5m - CC BY 4.0

Schwachstellenhistorie: apostrophe

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (28) im Archiv
Einträge insgesamt
28
Erste → letzte
09.2020 10.2026
Ohne Fix
4
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 2
  • Hoch 9
  • Mittel 13
  • Niedrig 4

Veröffentlichungen pro Jahr

Schweregrad:
  1. ApostropheCMS: Nicht authentifizierte Ressourcenerschöpfung über pre-auth aposBigUpload-Verarbeitung in @apostrophecms/import-export
    Hoch · 7.5 CVE-2026-113711 < 4.33.0 4.33.0
  2. ApostropheCMS: Nicht authentifizierte CSV-Importanfragen hinterlassen abgelehnte Uploads im temporären Verzeichnis
    Hoch · 7.5 CVE-2026-113658 < 4.33.0 4.33.0
  3. ApostropheCMS: Löschung von Prototyp-Eigenschaften durch Projektionsausschluss in @apostrophecms/db-connect führt zu Denial of Service
    Hoch · 7.1 CVE-2026-113666 < 4.33.0 4.33.0
  4. ApostropheCMS: 2nd-order prototype pollution via PATCH leading to single-request persistent DoS
    Hoch CVE-2026-71553 <= 4.32.0 keine Korrektur
  5. Apostrophe has Server-Side Prototype Pollution in apos.util.set via patch operators that leads to process-wide authorization bypass
    Kritisch · 9.1 CVE-2026-53609 < 4.31.0 4.31.0
  6. Apostrophe has stored XSS via javascript: URL in Image Widget Link
    Hoch · 7.3 CVE-2026-45011 = 4.29.0 keine Korrektur
  7. Apostrophe has a Weak Password Recovery Mechanism for Forgotten Password and Improper Input Validation
    Hoch · 8.1 CVE-2026-45013 <= 4.29.0 keine Korrektur
  8. Apostrophe has authenticated SSRF in rich-text widget import via @apostrophecms/area/validate-widget
    Hoch · 7.6 CVE-2026-45012 <= 4.29.0 keine Korrektur
  9. Stored XSS in SEO Fields Leads to Authenticated API Data Exposure in ApostropheCMS
    Hoch · 8.7 CVE-2026-35569 < 4.29.0 4.29.0
  10. ApostropheCMS MFA/TOTP Bypass via Incorrect MongoDB Query in Bearer Token Middleware
    Hoch · 8.1 CVE-2026-32730 < 4.28.0 4.28.0
  11. Apostrophe CMS Insufficient Session Expiration vulnerability
    Kritisch · 9.8 CVE-2021-25979 >= 2.63.0, < 3.4.0 3.4.0
  12. Cross-site Scripting in apostrophe dieser Eintrag
    Mittel · 5.4 CVE-2021-25978 >= 2.63.0, < 3.4.0 3.4.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.