Veille sécuritéFrontend
P4Faible
La route `clean-export` du module `@apostrophecms/import-export` ne vérifie pas l’authentification ni l’autorisation avant d’appeler sa méthode de nettoyage. Un client non authentifié disposant du cookie CSRF standard peut invoquer cette route.
JavaScript
IdentifiantCVE-2026-113648
GravitéFaible
Exploitationnon connue / non déterminée
Correctif@apostrophecms/import-export 3.7.1
Analyse technique
L’avis identifie `POST /api/v1/@apostrophecms/import-export/clean-export` comme route dépourvue de contrôle `req.user`.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-21T17:13:28Z, dans la période demandée; retenu comme avis de sécurité nouveau.
ImpactUn utilisateur non authentifié peut déclencher l’opération de nettoyage d’export.
Versions affectées@apostrophecms/import-export < 3.7.1
Version corrigée@apostrophecms/import-export 3.7.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.1
EPSS0,33% · percentile 24,6%
Publication2026-10-21T17:13:28Z
Mise à jour2026-10-21T17:13:28Z
Action recommandée
Mettre à niveau `@apostrophecms/import-export` vers 3.7.1 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).