Conoce las vulnerabilidades. Protege tus aplicaciones.

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)

ApostropheCMS: Incomplete CVE-2026-53606: `meta http-equiv=refresh` `content` still ships `javascript:` / `data:` URLs

ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization

ApostropheCMS: GET /api/v1/@apostrophecms/page/:id elude la restricción viewRole y expone campos protegidos por viewPermission a usuarios con menos privilegios

En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.

ApostropheCMS: Divulgación de la existencia de contenido privado y administrativo a través del endpoint doc/slugTaken

Una vulnerabilidad en ApostropheCMS permite a cualquier usuario autenticado enumerar slugs en todo el sistema mediante el endpoint doc/slugTaken, exponiendo la existencia de contenido privado, borradores y contenido administrativo.

ApostropheCMS: XSS persistente mediante serialización de atributos de estilo de widget sin escapar

ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.

ApostropheCMS: Evasión de validación del campo de color permite XSS almacenado mediante HTML añadido tras prefijo rgb()/hsl()

Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.

ApostropheCMS: La API de importación omite los roles de publicación para contenido protegido

Una vulnerabilidad en la API de importación de ApostropheCMS elude los roles de publicación, permitiendo a editores sin permisos de publicación crear, reemplazar o eliminar contenido publicado no autorizado.

ApostropheCMS: Los archivos de importación pueden agotar el almacenamiento del servidor y provocar denegación de servicio

Una vulnerabilidad en ApostropheCMS permite a usuarios autenticados agotar el almacenamiento del servidor al descomprimir archivos debido a la falta de cuotas y limpieza tras fallos, provocando denegación de servicio.

ApostropheCMS: La continuación de duplicados de archivo permite a colaboradores sobrescribir contenido publicado

En @apostrophecms/import-export, la continuación overrideDuplicates acepta opciones de reemplazo del cliente, lo que permite a colaboradores sobrescribir contenido publicado sin autorización de publicación.

ApostropheCMS: El público general puede acceder a objetos @apostrophecms/user mediante relaciones

En ApostropheCMS, la falta de aplicación de viewRole al público general permite acceder a objetos de usuario mediante relaciones si las plantillas exponen la información de forma indebida.

ApostropheCMS: Omisión de autorización en la API REST de páginas

Una omisión de autorización en la API REST de páginas de ApostropheCMS permite a visitantes no autenticados y colaboradores con pocos privilegios leer contenido restringido y la estructura del sitio.

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.

ApostropheCMS: Prototype Pollution del lado del cliente en apos.http.parseQuery que deriva en XSS basado en DOM contra usuarios autenticados

Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.

ApostropheCMS: La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña permite adivinar la contraseña actual de forma ilimitada

La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña de ApostropheCMS permite a atacantes con una sesión activa adivinar repetidamente la contraseña actual sin bloqueos, facilitando la toma de control de la cuenta.

ApostropheCMS: Omisión de autorización a nivel de objeto en exist-in-locale revela identificadores de borradores restringidos

En ApostropheCMS anterior a 4.33.0, la API exist-in-locale permite a usuarios autenticados con bajos privilegios determinar la existencia de documentos y borradores restringidos y obtener identificadores localizados sin autorización adecuada a nivel de documento.

ApostropheCMS uploadfs con backend Azure filtra el token SAS en cada URL pública de adjuntos

ApostropheCMS uploadfs con el backend Azure y SAS habilitado expone tokens SAS a nivel de contenedor en enlaces públicos de adjuntos. Esto permite a usuarios no autenticados leer, sobrescribir, borrar y listar blobs en el contenedor.

ApostropheCMS: la cabecera Host controla el origen de peticiones de imágenes en @apostrophecms/ai-helper, permitiendo SSRF autenticado

En @apostrophecms/ai-helper, un editor autenticado puede manipular la cabecera Host para controlar el origen de peticiones de imágenes y provocar ataques SSRF hacia la red interna.