Veille sécuritéBackend & données
P4Moyenne
Un utilisateur connecté pouvait interroger l’API slugTaken et déterminer si un slug existait parmi des documents privés, brouillons ou archivés, sans filtrage de permissions ou de type. Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
Node.js
IdentifiantCVE-2026-112952
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifApostropheCMS 4.34.0
Source : NVD — CVE-2026-112952
Analyse technique
La réponse booléenne de POST /api/v1/@apostrophecms/doc/slugTaken permet l’énumération de l’existence de slugs indépendamment de leur visibilité.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 16:17:06.090Z, soit 2026-10-20T18:17:06.090+02:00, dans la période retenue.
ImpactUn utilisateur connecté peut déduire l’existence de contenus privés, brouillons ou archivés.
Versions affectéesAvant 4.34.0
Version corrigéeApostropheCMS 4.34.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
Publication2026-10-20T18:17:06.090+02:00
Mise à jour2026-10-20T21:53:10.247+02:00
Action recommandée
Mettre à jour ApostropheCMS vers 4.34.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).