Veille sécuritéBackend & données
P4Faible
Avant ApostropheCMS 4.33.0, les points d’accès REST PATCH et DELETE du module de notifications agissent directement sur la collection MongoDB sans vérifier l’authentification ni la propriété de la notification. Un attaquant non authentifié connaissant un identifiant valide peut modifier ou supprimer définitivement la notification d’un autre utilisateur ; la correction est incluse dans la version 4.33.0.
JavaScriptNode.js
IdentifiantCVE-2026-113665
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifApostropheCMS 4.33.0
Source : GHSA-vwwx-px9w-crrc — ApostropheCMS
Analyse technique
Les opérations REST ne contrôlent ni l’authentification du demandeur ni son lien avec la notification ciblée.
Impact, versions et correctif
Événement datéFiche NVD publiée pendant la période, le 2026-10-20T18:17:19.993Z.
ImpactUn attaquant non authentifié disposant d’un identifiant de notification valide peut modifier ou supprimer cette notification.
Versions affectéesApostropheCMS antérieur à 4.33.0
Version corrigéeApostropheCMS 4.33.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
Publication2026-10-20T18:17:19.993Z
Mise à jour2026-10-20T19:53:10.247Z
Action recommandée
Mettre à niveau ApostropheCMS vers la version 4.33.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 2 source(s).