Avec un adaptateur SQLite, PostgreSQL ou multipostgres, un compte disposant de l’accès aux brouillons peut fournir un chemin d’exclusion de projection traversant la chaîne de prototypes et conduire à la suppression d’un membre partagé à l’exécution. Cela peut affecter durablement l’intégrité et la disponibilité du processus ; l’adaptateur MongoDB par défaut n’est pas concerné, et la correction est apportée par db-connect 1.1.0 et ApostropheCMS 4.33.0.
Source : GHSA-j5rq-xfvr-p969 — ApostropheCMS
Analyse technique
La précondition est un document correspondant et l’utilisation d’un adaptateur concerné ; guestApiAccess peut étendre le prérequis à tout compte connecté.
Impact, versions et correctif
Action recommandée
Mettre à niveau db-connect vers 1.1.0 et ApostropheCMS vers 4.33.0 ou ultérieurs.
Sources
Priorisation DFS : P3 · 2 source(s).