Veille sécuritéBackend & données
P4Moyenne
Une route REST ApostropheCMS permettant de consulter les locales d’un document n’applique pas le contrôle d’accès utilisé par les routes de lecture voisines. Une requête non authentifiée peut ainsi révéler l’existence d’un document et ses métadonnées de publication; mettez ApostropheCMS à niveau vers 4.33.0.
Node.js
IdentifiantCVE-2026-113668
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.33.0
Analyse technique
Les routes /api/v1//:_id/locales et /api/v1/@apostrophecms/page/:_id/locales omettent le contrôle publicApiCheckAsync appliqué par des routes de lecture voisines.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-20T18:14:32Z, dans la période retenue; il fournit la version affectée et le correctif.
ImpactUn utilisateur non authentifié connaissant un identifiant de document peut vérifier son existence et obtenir ses locales et métadonnées de publication.
Versions affectéesapostrophe < 4.33.0
Version corrigée4.33.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-20T18:14:32Z
Mise à jour2026-10-20T18:14:33Z
Action recommandée
Mettre à niveau apostrophe vers 4.33.0.
Sources
Priorisation DFS : P4 · 2 source(s).