CVE-2026-57579— Alchemy 未认证嵌套页面API信息泄露漏洞
一分钟漏洞结论
影响对象
AlchemyCMS alchemy_cms
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Alchemy 是一个用 Ruby on Rails 编写的开源内容管理系统引擎。在 7.4.15、8.0.15、8.1.14 和 8.2.6 之前，由 中 实现的未授权 端点会返回未经过滤的页面树，因为它没有执行任何授权检查，也未根据调用者的权限范围限定后代节点。匿名调用者可以检索到受限或未发布页面的元数据，而这些元数据会被同级的 操作拒绝访问。当提供 参数时， 还会从受限页面中返回元素（element）和成分（ingredient）内容，因为 和序列化器未对这些记录应用权限检查。该问题已在版本 7.4.15、8
可能的 ATT&CK 技术 1 AI
T1078 · Valid Accounts
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-57579 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Alchemy: Unauthenticated nested page API leaks restricted & unpublished content
来源: CVE Program / CVE List V5
Vulnerability Description
Alchemy is an open source content management system engine written in Ruby on Rails. Prior to 7.4.15, 8.0.15, 8.1.14, and 8.2.6, the unauthenticated GET /api/pages/nested endpoint implemented by Api::PagesController#nested in app/controllers/alchemy/api/pages_controller.rb returns an unfiltered page tree because it performs no authorization and does not scope descendants by the caller's ability. Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies. When elements=true is supplied, PageTreeSerializer also returns element and ingredient content from restricted pages because PageTreePreloader and the serializer do not apply an ability check to those records. This issue is fixed in versions 7.4.15, 8.0.15, 8.1.14, and 8.2.6.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制缺失
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| AlchemyCMS | alchemy_cms | < 7.4.15 | - |
|
二、漏洞 CVE-2026-57579 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-57579 的情报信息
请登录查看更多情报信息。
CVE-2026-57579 补丁与修复 (6)
CVE-2026-57579 厂商安全公告 (1)
CVE-2026-57579 厂商页面 (4)
-
🔗 Release v8.2.6 · AlchemyCMS/alchemy_cms · GitHub x_refsource_MISC
-
🔗 Release v8.1.14 · AlchemyCMS/alchemy_cms · GitHub x_refsource_MISC
-
🔗 Release v8.0.15 · AlchemyCMS/alchemy_cms · GitHub x_refsource_MISC
-
🔗 Release v7.4.15 · AlchemyCMS/alchemy_cms · GitHub x_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-57579
暂无评论