Veille sécuritéBackend & données
P4Moyenne
Avant ApostropheCMS 4.33.0, un attaquant sans authentification pouvait construire une URL dont la chaîne de requête était interprétée par `apos.http.parseQuery` lorsqu’une victime authentifiée chargeait une page avec le bundle d’administration. Des clés spéciales pouvaient modifier les prototypes dans le navigateur et atteindre un point d’injection DOM dangereux ; mettre à niveau vers 4.33.0.
JavaScriptNode.js
IdentifiantCVE-2026-113659
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.33.0
Source : GHSA-m2m5-rw3w-cwmj — ApostropheCMS
Analyse technique
L’analyse de la requête accepte les clés de chemin `__proto__`, `constructor` et `prototype` ; l’impact décrit concerne le contexte d’administration chargé par un utilisateur authentifié.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T18:17:19.283Z, dans la période demandée ; cet événement de publication est retenu.
ImpactExécution de script dans la session d’une victime authentifiée susceptible de charger le bundle d’administration.
Versions affectéesApostropheCMS antérieur à 4.33.0
Version corrigée4.33.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-10-20T18:17:19.283Z
Mise à jour2026-10-20T19:53:10.247Z
Action recommandée
Mettre à niveau ApostropheCMS vers 4.33.0.
Sources
Priorisation DFS : P4 · 2 source(s).