Sécurité

P4 · Moyenne · CVE-2026-113670 — Avant ApostropheCMS 4.33.0, l’API REST des pages lit certains documents avec les contrôles de permission désactivés, y compris dans la…

P4 · Moyenne · CVE-2026-113669 — Avant ApostropheCMS 4.33.0 et passport-bridge 1.6.1, la migration de session entre hôtes ou locales place dans l’URL de redirection un…

P4 · Moyenne · CVE-2026-113668 — Une route REST ApostropheCMS permettant de consulter les locales d’un document n’applique pas le contrôle d’accès utilisé par les routes…

P4 · Moyenne · CVE-2026-113667 — Les intégrations CAPTCHA concernées insèrent dans la requête de vérification un jeton de réponse fourni par l’utilisateur sans l’encoder. Des…

P4 · Moyenne · CVE-2026-113664 — Un importeur authentifié peut soumettre une entrée tar dont la destination normalisée vise un répertoire et déclenche une erreur de…

P4 · Moyenne · CVE-2026-113662 — Un utilisateur authentifié disposant d’un droit d’import peut fournir un objet ou un opérateur comme valeur de clé de mise…

P4 · Moyenne · CVE-2026-113660 — Avant ApostropheCMS 4.33.0, l’API `exist-in-locale` permettait à un utilisateur authentifié de faible privilège de découvrir l’existence de documents restreints dans…

P4 · Moyenne · CVE-2026-113656 — Avant la version 1.5.5 de l’extension ApostropheCMS Form, la route de soumission acceptait des téléversements multipart sans limites de taille,…

P4 · Moyenne · CVE-2026-113655 — Avant ApostropheCMS 4.33.0, un éditeur authentifié disposant de droits de modification sur une page existante pouvait modifier l’ordre de pages…

P4 · Moyenne · CVE-2026-113654 — Avant sanitize-html 2.18.0, une configuration non standard de `nonTextTags` incluant `noscript` pouvait laisser sortir trop tôt la région à supprimer…