Veille sécuritéBackend & données
P4Moyenne
Avant ApostropheCMS 4.33.0 et passport-bridge 1.6.1, la migration de session entre hôtes ou locales place dans l’URL de redirection un jeton porteur à usage unique. Un tiers qui obtient ce jeton valide et le consomme avant son usage initial peut adopter la session associée ; les versions indiquées corrigent le problème.
Node.js
IdentifiantCVE-2026-113669
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifApostropheCMS 4.33.0 et passport-bridge 1.6.1
Source : NVD — CVE-2026-113669
Analyse technique
Le jeton de session transite dans l’URL lors des flux de migration inter-hôtes ou inter-locales.
Impact, versions et correctif
Événement datéFiche NVD publiée pendant la période, le 2026-10-20T18:17:20.550Z.
ImpactUn tiers qui intercepte un jeton encore valide peut prendre la session qui lui est associée.
Versions affectéesApostropheCMS antérieur à 4.33.0 et passport-bridge antérieur à 1.6.1
Version corrigéeApostropheCMS 4.33.0 et passport-bridge 1.6.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-20T18:17:20.550Z
Mise à jour2026-10-20T19:53:10.247Z
Action recommandée
Mettre à niveau ApostropheCMS vers 4.33.0 et passport-bridge vers 1.6.1 ou ultérieurs.
Sources
Priorisation DFS : P4 · 1 source(s).