Veille sécuritéBackend & données
P4Moyenne
Avant ApostropheCMS 4.33.0, l’API `exist-in-locale` permettait à un utilisateur authentifié de faible privilège de découvrir l’existence de documents restreints dans une locale et un mode donnés, y compris en brouillon. La route renvoyait des identifiants de documents localisés sans appliquer les contrôles d’autorisation de consultation ou de modification ; mettre à niveau vers 4.33.0.
Node.js
IdentifiantCVE-2026-113660
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.33.0
Source : NVD — CVE-2026-113660
Analyse technique
L’API renvoie des identifiants localisés sans filtrage selon les autorisations appliquées aux documents.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-20T18:17:19.420Z, dans la période demandée ; cet événement de publication est retenu.
ImpactUn utilisateur authentifié à faible privilège peut découvrir l’existence de documents restreints et leurs identifiants localisés.
Versions affectéesApostropheCMS antérieur à 4.33.0
Version corrigée4.33.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
Publication2026-10-20T18:17:19.420Z
Mise à jour2026-10-20T19:53:10.247Z
Action recommandée
Mettre à niveau ApostropheCMS vers 4.33.0.
Sources
Priorisation DFS : P4 · 1 source(s).