GitHub 安全公告库 (GHSA)·· 2 天前AI 评分32
ApostropheCMS @apostrophecms/page 模块 move() 同父级重排绕过 create 授权（CWE-862/CWE-639）
ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization
AI 导读
ApostropheCMS 的 @apostrophecms/page 模块 move() 在跨父级移动时才校验目标父级的 create 权限，同父级重排会短路该检查，低权限编辑者可重排受限父级下其他子页面的 rank。该缺陷属 CWE-862/CWE-639，仅影响同级排序，不泄露字段内容也不影响可用性，且需管理员预先将可编辑页面置于受限父级下这一非默认树结构。
来源：GitHub 安全公告库 (GHSA) · github.com