ApostropheCMS : contrôle d’accès insuffisant sur des objets utilisateur exposés

Veille sécuritéBackend & données

P4Moyenne

Avant ApostropheCMS 4.33.0, des visiteurs anonymes pouvaient obtenir certains champs d’objets utilisateur exposés dans des relations ou une API publique lorsque les templates n’appliquaient pas correctement les contrôles `viewRole`. Mettre à niveau vers 4.33.0 ; l’avis précise que les relations ne publient pas automatiquement les objets complets et que les hachages de mots de passe ne sont pas concernés.

IdentifiantCVE-2026-113653

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.33.0

Source : NVD — CVE-2026-113653

Analyse technique

Divulgation conditionnelle de champs utilisateur si un template sérialise des objets de relation ou si une API publique les expose sans restriction suffisante.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-20T17:17:36.220Z, dans la période demandée ; cet événement de publication est retenu.

ImpactDivulgation de certains champs utilisateur à des visiteurs anonymes dans les configurations concernées.

Versions affectéesApostropheCMS antérieur à 4.33.0

Version corrigée4.33.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.9

Publication2026-10-20T17:17:36.220Z

Mise à jour2026-10-20T19:53:10.247Z

Action recommandée

Mettre à niveau ApostropheCMS vers 4.33.0 et vérifier les templates et API publiques qui exposent des objets utilisateur.

Sources

NVD — CVE-2026-113653

Priorisation DFS : P4 · 1 source(s).