GitHubの脆弱性情報データベースに、ApostropheCMS関連の脆弱性4件が掲載されています。情報漏えい、通知の不正操作、サービス停止などの恐れがあり、閲覧権限の不備については修正版4.33.0が示されています。各勧告の公表日は、今回の資料には書かれていません。
閲覧権限の不備は4.33.0で修正、通知にも認可漏れ
CVE-2026-113653は、操作や閲覧を許すか判断する「認可」の不備です。一般公開アクセスには、閲覧権限を設定するviewRoleが適用されません。ユーザー情報との関連付けと不適切なテンプレートが組み合わさると、情報が漏れる恐れがあります。
パスワードハッシュは別の保存領域に置かれており、影響対象外とされています。また、外部からデータを操作する窓口である公開REST APIは、明示的な許可が必要です。勧告は、この条件がリスクを大幅に軽減すると説明しています。
修正版は4.33.0です。回避策として、管理者以外への表示にはユーザー情報との関連付けを使わず、著者表示用の型を別に設ける方法が示されています。
通知機能のCVE-2026-113665では、変更・削除の処理で認証と通知の所有者確認が欠けています。有効な通知IDを得た未認証の攻撃者は、他人の通知を削除・非表示にできます。セキュリティー関連や管理用の通知が抑止される恐れもあります。ただし、通知IDはCUID2で生成され、実用上の推測は困難とされています。
インポートとファイル保存は、部品と動作条件を分けて確認
CVE-2026-113664では、追加部品@apostrophecms/import-exportの3.6.2で問題のコードが確認されています。インポート権限を持つ認証済みユーザーが細工したアーカイブを使うと、Nodeプロセスを停止できるとされています。
原因は、tar形式のアーカイブを展開する際のパス検査の抜けと、書き込み時のエラー処理の不足です。ただし、実証は個別動作の確認とコード追跡にとどまり、攻撃経路全体の動作は未確認です。
CVE-2026-113651は、uploadfsのローカルストレージ処理の問題です。パス検証が不十分で、保存先ディレクトリの外にあるファイルを読み書き・削除できるとされています。勧告は、機密情報の流出、外部からのコード実行、サービス停止につながる恐れを指摘しています。
通知、インポート、uploadfsの勧告には、それぞれApostropheCMS 4.33.0、@apostrophecms/import-export 3.7.0、uploadfs 1.28.0のリリースへの参照があります。各リリースの修正内容は参照先で確認する必要があり、影響する版の全範囲は今回の資料からは確認できません。ApostropheCMSを4.33.0に更新するだけで、4件すべてに対応できるとは判断できません。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: ApostropheCMSでユーザー情報を関連付け、管理者以外に表示している会社は、
viewRoleだけに頼っていないか確認が必要です。
- 影響する: 通知機能、インポート機能、uploadfsのローカルストレージ処理を利用する会社は、それぞれの条件を確認する必要があります。通知の不正操作には有効な通知ID、インポートによる停止には認証とインポート権限が必要です。
- 影響しない: CVE-2026-113653について、パスワードハッシュは影響対象外とされています。ただし、ほかのユーザー情報まで対象外という意味ではありません。
- 影響しない: 4件すべての影響を受けない版や構成の一覧は、発表には書かれていません。未使用の機能があることだけで、全体を対象外としないでください。
