GitHub 安全公告库 (GHSA)·· 2 天前精选AI 评分58
ApostropheCMS import-export 存在 NoSQL 注入，update-key 值可匹配并覆盖未指定文档
ApostropheCMS import-export: NoSQL injection via update-key value lets a crafted import match and overwrite an unidentified document
AI 导读
GitHub 安全公告披露 @apostrophecms/import-export 的 update-by-key 功能存在 NoSQL 注入：导入文档的 `slug:key` 值被直接用作 MongoDB 查询值，归档经 EJSON 解析后 `{ $ne: null }` 等操作符会成为有效值，从而匹配并覆盖导入者并未指定的既有文档。
为什么值得看
公告说明该模块的 update-key 查询值未经清洗，并给出与 GHSA-79qf-vqgc-7xx3 同类的修复思路，便于开发者对照自查。
来源：GitHub 安全公告库 (GHSA) · github.com