CVE-2026-32731
ApostropheCMS présente une écriture arbitraire de fichier (Zip Slip / Path Traversal) dans l'extraction Gzip d'Import-Export
- Publié
- 18 mars 2026
- Mise à jour
- 19 mars 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 25 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 48,3 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
ApostropheCMS est un framework de gestion de contenu open source. Avant la version 3.5.3 de `@apostrophecms/import-export`, la fonction `extract()` dans `gzip.js` construit les chemins d'écriture de fichiers en utilisant `fs.createWriteStream(path.join(exportPath, header.name))`. `path.join()` ne résout ni ne neutralise les segments de traversée tels que `../`. Il les concatène tels quels, ce qui signifie qu'une entrée tar nommée `../../evil.js` se résout en un chemin situé en dehors du répertoire d'extraction prévu. Aucune vérification de chemin canonique n'est effectuée avant l'ouverture du flux d'écriture. Il s'agit d'une vulnérabilité Zip Slip classique. Tout utilisateur disposant de la permission Global Content Modify — un rôle couramment attribué aux éditeurs de contenu et aux gestionnaires de site — peut téléverser un fichier `.tar.gz` conçu via l'interface d'importation CMS standard et écrire du contenu contrôlé par l'attaquant vers n'importe quel chemin accessible par le processus Node.js sur le système de fichiers hôte. La version 3.5.3 de `@apostrophecms/import-export` corrige ce problème.
Sources
Preuve de concept pour CVE-2026-32731, démontrant la vulnérabilité et fournissant un exploit fonctionnel pour les tests et la validation de sécurité.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.