CVE-2026-113656— ApostropheCMS 未认证 multipart 上传磁盘耗尽 DoS
一分钟漏洞结论
影响对象
apostrophecms apostrophe
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
ApostropheCMS 是一个开源的基于 Node.js 的内容管理系统。在 ApostropheCMS 表单插件 1.5.5 版本之前，其表单提交路由会在执行表单验证或身份认证之前，先对无限制的 multipart 上传进行暂存，且未设置上传文件大小、数量及速率限制。攻击者可利用此漏洞进行重复的未授权提交，从而耗尽临时磁盘存储空间，导致表单处理功能中断，甚至影响主机上的其他服务。该问题已在 ApostropheCMS 表单插件 1.5.5 版本中修复。
可能的 ATT&CK 技术 1 AI
T1499.003 · Application Exhaustion Flood
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-113656 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
ApostropheCMS: Unauthenticated unbounded multipart upload → disk-exhaustion DoS
来源: CVE Program / CVE List V5
Vulnerability Description
ApostropheCMS is an open-source Node.js content management system. Prior to 1.5.5 of the ApostropheCMS Form add-on, its form submission route stages unbounded multipart uploads before form validation or authentication and lacks upload size, count, and rate limits. Repeated unauthenticated submissions can consume temporary disk storage and disrupt form handling or other host services. This issue is fixed in ApostropheCMS Form 1.5.5.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
不加限制或调节的资源分配
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| apostrophecms | apostrophe | < 4.33.0 | - |
|
| @apostrophecms | form | < 1.5.5 | - |
|
二、漏洞 CVE-2026-113656 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-113656 的情报信息
请登录查看更多情报信息。
CVE-2026-113656 其他参考 (4)
同批安全公告 · apostrophecms · 2026-10-20 · 共 33 条
| CVE-2026-113658 | 7.5 HIGH | ApostropheCMS 未授权 CSV 导入临时文件泄露漏洞 |
| CVE-2026-113711 | 7.5 HIGH | ApostropheCMS 认证前资源耗尽漏洞 |
| CVE-2026-113666 | 7.1 HIGH | ApostropheCMS 认证拒绝服务漏洞 |
| CVE-2026-113653 | 6.9 MEDIUM | ApostropheCMS 关系视图角色未应用导致信息泄露漏洞 |
| CVE-2026-112956 | 6.5 MEDIUM | ApostropheCMS 内容覆盖漏洞 |
| CVE-2026-112955 | 6.5 MEDIUM | ApostropheCMS 导入存档耗尽存储拒绝服务漏洞 |
| CVE-2026-113649 | 6.5 MEDIUM | ApostropheCMS 导入 API 绕过受保护内容发布角色漏洞 |
| CVE-2026-113659 | 6.1 MEDIUM | ApostropheCMS 客户端原型污染导致 DOM 型 XSS 漏洞 |
| CVE-2026-112953 | 6.0 MEDIUM | ApostropheCMS 敏感信息泄露漏洞 |
| CVE-2026-113710 | 5.9 MEDIUM | ApostropheCMS 密码修改接口无节流导致无限猜解漏洞 |
| CVE-2026-113652 | 5.6 MEDIUM | ApostropheCMS 上传 Azure 后端 SAS 令牌泄露漏洞 |
| CVE-2026-112951 | 5.4 MEDIUM | ApostropheCMS 颜色字段验证绕过导致存储型 XSS 漏洞 |
| CVE-2026-112958 | 5.4 MEDIUM | ApostropheCMS 未转义小部件样式属性存储型 XSS 漏洞 |
| CVE-2026-113661 | 5.4 MEDIUM | ApostropheCMS 内容注入漏洞 |
| CVE-2026-113662 | 5.4 MEDIUM | ApostropheCMS 导入导出功能 NoSQL 注入漏洞 |
| CVE-2026-113650 | 5.3 MEDIUM | ApostropheCMS sanitize-html 递归栈溢出漏洞 |
| CVE-2026-113654 | 5.3 MEDIUM | ApostropheCMS 内容注入漏洞 |
| CVE-2026-113667 | 5.3 MEDIUM | ApostropheCMS 未对验证码响应令牌进行 URL 编码 |
| CVE-2026-112954 | 5.3 MEDIUM | ApostropheCMS 未授权 API 查询绕过漏洞 |
| CVE-2026-113669 | 5.3 MEDIUM | ApostropheCMS 跨域会话令牌劫持漏洞 |
显示前 20 条，共 33 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-113656
暂无评论