JVNDB-2026-009048

Apostrophe TechnologiesのApostropheCMSにおける複数の脆弱性

ApostropheCMSはオープンソースのコンテンツ管理フレームワークです。バージョン4.28.0以前の`@apostrophecms/express/index.js`（行386-389）にあるベアラートークン認証ミドルウェアには不正なMongoDBクエリが含まれており、パスワードは検証されたものの、TOTPやMFAの要件が満たされていない不完全なログイントークンを、完全に認証されたベアラートークンとして使用できます。これにより、`@apostrophecms/login-totp`やカスタムの`afterPasswordVerified`ログイン要件を使用しているすべてのApostropheCMS導入環境で多要素認証が完全にバイパスされます。この問題はバージョン4.28.0で修正されました。

Apostrophe Technologies

• ApostropheCMS 4.28.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : MFA/TOTP Bypass via Incorrect MongoDB Query in Bearer Token Middleware  Advisory  apostrophecms/apostrophe  GitHub

1. 不適切な認証(CWE-287) [その他]
2. 根本の脆弱性による認証回避(CWE-305) [その他]

1. CVE-2026-32730

1. National Vulnerability Database (NVD) : CVE-2026-32730

• [2026年03月27日]
    掲載