CVE-2026-32731

Riepilogo

ApostropheCMS è un framework di gestione dei contenuti open-source. Prima della versione 3.5.3 di `@apostrophecms/import-export`, la funzione `extract()` in `gzip.js` costruisce i percorsi di scrittura dei file utilizzando `fs.createWriteStream(path.join(exportPath, header.name))`. `path.join()` non risolve né sanifica i segmenti di traversal come `../`. Li concatena così come sono, il che significa che una voce tar denominata `../../evil.js` viene risolta in un percorso al di fuori della directory di estrazione prevista. Nessun controllo del percorso canonico viene eseguito prima dell'apertura dello stream di scrittura. Questa è una classica vulnerabilità Zip Slip. Qualsiasi utente a cui è stato concesso il permesso Global Content Modify — un ruolo assegnato di routine agli editor di contenuti e ai gestori del sito — può caricare un file `.tar.gz` appositamente predisposto tramite l'interfaccia di importazione standard del CMS e scrivere contenuti controllati dall'attaccante in qualsiasi percorso raggiungibile dal processo Node.js sul filesystem dell'host. La versione 3.5.3 di `@apostrophecms/import-export` corregge il problema.

• CVE-2026-32731PoC

  Proof-of-concept exploit per CVE-2026-32731, che dimostra la vulnerabilità e fornisce un exploit funzionante per test e validazione della sicurezza.