Anmelden
Deutsch English Español Polski
Kritisch

Apostrophe CMS Insufficient Session Expiration vulnerability

  • Veröffentlicht: 10.11.2021
  • Aktualisiert: 11.10.2026 10:22

Apostrophe CMS versions between 2.63.0 to 3.3.1 affected by an insufficient session expiration vulnerability, which allows unauthenticated remote attackers to hijack recently logged-in users' sessions. As a mitigation for older releases the user account in question can be archived (3.x) or moved to the trash (2.x and earlier) which does disable the existing session.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket apostrophe >= 2.63.0, < 3.4.0 3.4.0

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-613
Plattform
npm
Paket
apostrophe
Veröffentlicht
10.11.2021
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-9j9m-8wjc-ff96 - CC BY 4.0

Schwachstellenhistorie: apostrophe

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (27) im Archiv
Einträge insgesamt
27
Erste → letzte
09.2020 10.2026
Ohne Fix
4
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 2
  • Hoch 8
  • Mittel 13
  • Niedrig 4

Veröffentlichungen pro Jahr

Schweregrad:
  1. ApostropheCMS: Nicht authentifizierte CSV-Importanfragen hinterlassen abgelehnte Uploads im temporären Verzeichnis
    Hoch · 7.5 CVE-2026-113658 < 4.33.0 4.33.0
  2. ApostropheCMS: Löschung von Prototyp-Eigenschaften durch Projektionsausschluss in @apostrophecms/db-connect führt zu Denial of Service
    Hoch · 7.1 CVE-2026-113666 < 4.33.0 4.33.0
  3. ApostropheCMS: 2nd-order prototype pollution via PATCH leading to single-request persistent DoS
    Hoch CVE-2026-71553 <= 4.32.0 keine Korrektur
  4. Apostrophe has Server-Side Prototype Pollution in apos.util.set via patch operators that leads to process-wide authorization bypass
    Kritisch · 9.1 CVE-2026-53609 < 4.31.0 4.31.0
  5. Apostrophe has stored XSS via javascript: URL in Image Widget Link
    Hoch · 7.3 CVE-2026-45011 = 4.29.0 keine Korrektur
  6. Apostrophe has a Weak Password Recovery Mechanism for Forgotten Password and Improper Input Validation
    Hoch · 8.1 CVE-2026-45013 <= 4.29.0 keine Korrektur
  7. Apostrophe has authenticated SSRF in rich-text widget import via @apostrophecms/area/validate-widget
    Hoch · 7.6 CVE-2026-45012 <= 4.29.0 keine Korrektur
  8. Stored XSS in SEO Fields Leads to Authenticated API Data Exposure in ApostropheCMS
    Hoch · 8.7 CVE-2026-35569 < 4.29.0 4.29.0
  9. ApostropheCMS MFA/TOTP Bypass via Incorrect MongoDB Query in Bearer Token Middleware
    Hoch · 8.1 CVE-2026-32730 < 4.28.0 4.28.0
  10. Apostrophe CMS Insufficient Session Expiration vulnerability dieser Eintrag
    Kritisch · 9.8 CVE-2021-25979 >= 2.63.0, < 3.4.0 3.4.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.