GitHub 安全公告库 (GHSA)·· 1 天前AI 评分42
ApostropheCMS 页面 getOne 接口绕过 viewRole 限制并泄露 viewPermission 字段
ApostropheCMS: GET /api/v1/@apostrophecms/page/:id bypasses viewRole restriction and exposes viewPermission-gated fields to lower-privileged users
AI 导读
ApostropheCMS 的页面 REST 接口 GET /api/v1/@apostrophecms/page/:id 未应用 viewRole 类型级限制和 viewPermission 字段级脱敏，而 getAll 接口对两者均正确执行。编辑级用户只要知道文档 _id，即可读取仅限管理员访问的页面全文及受 viewPermission 保护的字段。
来源：GitHub 安全公告库 (GHSA) · github.com