CVE-2026-32731

Resumo

# ApostropheCMS O ApostropheCMS é um framework de gerenciamento de conteúdo de código aberto. Antes da versão 3.5.3 de `@apostrophecms/import-export`, a função `extract()` em `gzip.js` constrói caminhos de escrita de arquivos usando `fs.createWriteStream(path.join(exportPath, header.name))`. `path.join()` não resolve nem sanitiza segmentos de travessia como `../`. Ele os concatena como estão, o que significa que uma entrada de tar nomeada `../../evil.js` resolve para um caminho fora do diretório de extração pretendido. Nenhuma verificação de caminho canônico é realizada antes de o stream de escrita ser aberto. Esta é uma vulnerabilidade clássica de Zip Slip. Qualquer usuário que tenha recebido a permissão Global Content Modify — uma função rotineiramente atribuída a editores de conteúdo e gerentes de site — pode enviar um arquivo `.tar.gz` malicioso por meio da interface padrão de importação do CMS e escrever conteúdo controlado pelo atacante em qualquer caminho que o processo Node.js possa alcançar no sistema de arquivos do host. A versão 3.5.3 de `@apostrophecms/import-export` corrige o problema.

• CVE-2026-32731PoC

  Prova de conceito de exploit para CVE-2026-32731, demonstrando a vulnerabilidade e fornecendo um exploit funcional para testes e validação de segurança.