ApostropheCMS: Archiwa importu mogą wyczerpać pamięć masową serwera i wywołać odmowę usługi

Zakres przeglądu i ograniczenia materiału dowodowego

Pakiet: @apostrophecms/import-export, wersja 3.7.0.

Przejrzany tag wydania: @apostrophecms/import-export@3.7.0, commit 9500b8b0e1d630d5e07fbb5fd2c25ed0943845ce (wrzesień 30, 2026).

Przejrzana bieżąca gałąź main: 5ce3732be0ebdebb4db0f8ef160c81e8671157e6.

Importer, ekstraktor gzip, weryfikacja uprawnień importu oraz bazowa implementacja uprawnień nie wykazują różnic między tym tagiem wydania a przeanalizowaną gałęzią main. Niniejsza analiza stanowi statyczny przegląd wdrożonych poprawek. Nie powtórzono oryginalnych reprodukcji w trybie end-to-end na najnowszym wydaniu ani nie testowano wdrożonej witryny. Bieżąca podatność na eksploitację oraz jej wpływ wymagają weryfikacji ze strony opiekunów projektu; poniższe obserwacje wskazują, że zgłoszone mechanizmy kontroli bezpieczeństwa nadal nie występują w publicznym kodzie źródłowym. Oryginalny plik PDF przesłany pocztą elektroniczną zawiera pierwotne materiały reprodukcyjne. Należy odnieść się do tego istniejącego prywatnego załącznika.

Ekstrakcja archiwum importu nie posiada limitów zasobów i czyszczenia po błędach

Bieżący ekstraktor gzip obsługuje błędy zapisu do miejsca docelowego i oczekuje na ukończenie zapisu; te elementy pierwotnego zgłoszenia nie powinny być już traktowane jako niezmienione. Ścieżki importu wymagają obecnie również zalogowanego użytkownika przed przetwarzaniem dużych plików (big-upload), co obejmuje GHSA-86wm-68pq-5jwq.

Funkcja extract() nadal jednak zapisuje rozpakowane wpisy archiwum bez limitów per wpis, łącznej liczby zdekompresowanych bajtów czy liczby wpisów. Parsowanie archiwum wciąż poprzedza autoryzację typu dokumentu. Jeśli ekstrakcja lub parsowanie zakończy się niepowodzeniem, import() powiadamia i ponownie zgłasza błąd przed późniejszym wywołaniem storage.remove(), bez bezwarunkowego czyszczenia w ramach tego cyklu życia. Zgłoszone ryzyko rezydualne to nadmierne zużycie pamięci masowej i zachowywanie artefaktów ekstrakcji/etapu przejściowego z uwierzytelnionych importów. Obsługa błędu zapisu i wymóg logowania nie egzekwują limitu pamięci masowej.

Sugerowane środki zaradcze: dodanie konfigurowalnych limitów strumieniowania opartych na rzeczywistych zdekompresowanych bajtach, ograniczenie liczby wpisów i dozwolonych typów wpisów, ograniczenie liczby współbieżnych importów oraz czyszczenie lokalnych artefaktów i artefaktów uploadfs przy każdym błędzie. Zachowywanie artefaktów kontynuacji powinno odbywać się wyłącznie pod warunkiem jawnego przypisania własności, limitów ważności i limitów całkowitej pamięci masowej.

Źródła referencyjne:

• Gzip extractor)
• Import lifecycle and cleanup)
• Related authentication fix)

Koordynacja

Vivek R / Winfunc Pierwotny zespół zgłaszający: Mufeed VH / Winfunc