CVE-2026-113648— ApostropheCMS 未验证 cleanExport 路由漏洞
一分钟漏洞结论
影响对象
apostrophecms apostrophe
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
ApostropheCMS 是一个基于 Node.js 的开源内容管理系统。在 import-export 模块 3.7.1 版本之前，其 API 端点 缺少身份验证和授权检查。任何客户端（包括已通过访问网站获取标准 CSRF Cookie 的未认证匿名用户）均可直接调用该路由，触发底层 方法。该问题已在 3.7.1 版本中修复。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-113648 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
ApostropheCMS: Missing Authentication in `cleanExport` Route
来源: CVE Program / CVE List V5
Vulnerability Description
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, the API endpoint POST /api/v1/@apostrophecms/import-export/clean-export in @apostrophecms/import-export lacks authentication and authorization checks. Any client—including unauthenticated anonymous users who have obtained the standard CSRF cookie from visiting the site—can directly invoke this route and trigger the underlying self.cleanExport(req) method. This issue is fixed in version 3.7.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
关键功能的认证机制缺失
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| apostrophecms | apostrophe | < 4.34.0 | - |
|
| @apostrophecms | import-export | < 3.7.1 | - |
|
二、漏洞 CVE-2026-113648 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-113648 的情报信息
请登录查看更多情报信息。
CVE-2026-113648 其他参考 (4)
同批安全公告 · apostrophecms · 2026-10-20 · 共 33 条
| CVE-2026-113711 | 7.5 HIGH | ApostropheCMS 认证前资源耗尽漏洞 |
| CVE-2026-113658 | 7.5 HIGH | ApostropheCMS 未授权 CSV 导入临时文件泄露漏洞 |
| CVE-2026-113666 | 7.1 HIGH | ApostropheCMS 认证拒绝服务漏洞 |
| CVE-2026-113653 | 6.9 MEDIUM | ApostropheCMS 关系视图角色未应用导致信息泄露漏洞 |
| CVE-2026-112956 | 6.5 MEDIUM | ApostropheCMS 内容覆盖漏洞 |
| CVE-2026-112955 | 6.5 MEDIUM | ApostropheCMS 导入存档耗尽存储拒绝服务漏洞 |
| CVE-2026-113649 | 6.5 MEDIUM | ApostropheCMS 导入 API 绕过受保护内容发布角色漏洞 |
| CVE-2026-113659 | 6.1 MEDIUM | ApostropheCMS 客户端原型污染导致 DOM 型 XSS 漏洞 |
| CVE-2026-112953 | 6.0 MEDIUM | ApostropheCMS 敏感信息泄露漏洞 |
| CVE-2026-113710 | 5.9 MEDIUM | ApostropheCMS 密码修改接口无节流导致无限猜解漏洞 |
| CVE-2026-113652 | 5.6 MEDIUM | ApostropheCMS 上传 Azure 后端 SAS 令牌泄露漏洞 |
| CVE-2026-112958 | 5.4 MEDIUM | ApostropheCMS 未转义小部件样式属性存储型 XSS 漏洞 |
| CVE-2026-113662 | 5.4 MEDIUM | ApostropheCMS 导入导出功能 NoSQL 注入漏洞 |
| CVE-2026-112951 | 5.4 MEDIUM | ApostropheCMS 颜色字段验证绕过导致存储型 XSS 漏洞 |
| CVE-2026-113661 | 5.4 MEDIUM | ApostropheCMS 内容注入漏洞 |
| CVE-2026-113656 | 5.3 MEDIUM | ApostropheCMS 未认证 multipart 上传磁盘耗尽 DoS |
| CVE-2026-113670 | 5.3 MEDIUM | ApostropheCMS 页面 REST API 授权绕过漏洞 |
| CVE-2026-113668 | 5.3 MEDIUM | ApostropheCMS 未授权文档存在性及语言元数据泄露漏洞 |
| CVE-2026-113669 | 5.3 MEDIUM | ApostropheCMS 跨域会话令牌劫持漏洞 |
| CVE-2026-113667 | 5.3 MEDIUM | ApostropheCMS 未对验证码响应令牌进行 URL 编码 |
显示前 20 条，共 33 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-113648
暂无评论