GitHub 安全公告库 (GHSA)·2026-10-22 01:12· 1 天前精选AI 评分58

ApostropheCMS 公共 REST API 的 search 与 sort 查询构造器可绕过 publicApiProjection，未认证即可探测隐藏字段

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

AI 导读

ApostropheCMS 的公共 REST API 在处理匿名请求时，会先执行 query string 中所有可 launder 的查询构造器，再强制套用 publicApiProjection，而 search 与 sort 这两个构造器作用于底层文档、不受投影限制。

为什么值得看

公告给出可复现的 curl 请求与实测结果，说明 search 与 sort 两个查询构造器如何绕过字段白名单。