‹ Volver al listado

CVE-2026-112955

Estado: RecibidaMedia (6.5)—
Gravedad6.5Media · CVSS 3.1
Probabilidad de explotación—en los próximos 30 días
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

ApostropheCMS es un sistema de gestión de contenidos de código abierto basado en Node.js. Antes de la versión 3.7.1 del módulo de importación y exportación, un importador autenticado podía enviar archivos comprimidos cuyos bytes descomprimidos, número de entradas y tamaños de las entradas no estaban acotados antes de la autorización por tipo de documento, y los fallos durante la extracción o el análisis podían dejar los artefactos de preparación y de extracción sin una limpieza incondicional.

Leer descripción completaMostrar menos

Las rutas de autenticación previa y de errores de escritura, ya reforzadas, son independientes, y el impacto real de denegación de servicio (DoS) de extremo a extremo de esta ruta residual está pendiente de validación por parte de los responsables del proyecto. Este problema está corregido en la versión 3.7.1.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
6.5
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:L/UI:N: explotable por red con cuenta autenticada de importador; CWE-400 y A:H sustentan DoS por agotamiento de recursos, pendiente de validación del mantenedor.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningThreat Intelligence ProgramPrivileged Account ManagementNetwork SegmentationFilter Network TrafficDisable or Remove Feature or Program

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apostrophecms — ApostrophecmsAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-112955",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "apostrophecms",
          "product": "apostrophe",
          "versions": [
            {
              "status": "affected",
              "version": "< 4.34.0"
            }
          ]
        },
        {
          "vendor": "@apostrophecms",
          "product": "import-export",
          "versions": [
            {
              "status": "affected",
              "version": "< 3.7.1"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T16:17:06.503",
  "references": [
    {
      "url": "https://github.com/apostrophecms/apostrophe/commit/06e4b377f3c360f9e89c32dccd7e505ad5ddf498",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/apostrophecms/apostrophe/commit/40b989b1a9dd23d30029b8ce7668634265cfe5ea",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/apostrophecms/apostrophe/releases/tag/@apostrophecms/import-export@3.7.1",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-9g7p-m758-rp72",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-400"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, an authenticated importer can submit archives whose decompressed bytes, entry count, and entry sizes are not bounded before document-type authorization, and extraction or parsing failures can leave staging and extracted artifacts without unconditional cleanup. The already-hardened pre-authentication and write-error paths are separate, and current end-to-end denial-of-service impact from this residual path remains subject to maintainer validation. This issue is fixed in version 3.7.1."
    }
  ],
  "lastModified": "2026-10-20T16:17:06.503",
  "sourceIdentifier": "security-advisories@github.com"
}