JVNDB-2026-011921

Apostrophe TechnologiesのApostropheCMSにおける情報漏えいに関する脆弱性

ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。バージョン4.28.0以前には、REST APIのchoicesおよびcountsクエリパラメータに認可バイパスの脆弱性が存在していました。これらのクエリビルダーはMongoDBのdistinct()操作を実行し、公開されるフィールドを制限するためのpublicApiProjection制約を回避します。choicesおよびcountsパラメータはprojectionが適用される前にapplyBuildersSafelyを介して処理されますが、MongoDBのdistinct操作はprojectionを尊重しないため、すべての異なる値を直接返してしまいます。その結果はpublicApiProjectionやremoveForbiddenFieldsによるフィルタリングなしにAPI応答で返されます。認証されていない攻撃者は、文字列、整数、浮動小数点数、セレクト、ブール値、日付、スラッグ、リレーションシップフィールドを含む登録されたクエリビルダーを持つ任意のスキーマフィールドのすべての異なるフィールド値を抽出できます。viewPermissionで保護されたフィールドも同様に公開され、counts変種では各異なる値を持つドキュメント数も明らかになります。piece-typeおよびpageのREST APIの両方が影響を受けます。この問題はバージョン4.29.0で修正されました。

Apostrophe Technologies

• ApostropheCMS 4.29.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Information Disclosure via `choices`/`counts` Query Parameters Bypassing publicApiProjection Field Restrictions  Advisory  apostrophecms/apostrophe  GitHub

1. 情報漏えい(CWE-200) [その他]

1. CVE-2026-39857

1. National Vulnerability Database (NVD) : CVE-2026-39857
2. 関連文書 : Merge commit from fork  apostrophecms/apostrophe@6c2b548  GitHub

• [2026年04月21日]
    掲載