GitHub 安全公告库 (GHSA)·· 2 天前精选AI 评分58
ApostropheCMS 页面 REST API 授权绕过漏洞，匿名可读取私有页面
ApostropheCMS: Page REST API authorization bypass
AI 导读
GitHub 安全公告披露 ApostropheCMS 核心页面 REST API 存在授权绕过，getOne 与 all=1 树形导出使用 .permission(false)，绕过页面类型的 viewRole、visibility: private 和 visibility: loginRequired 检查。
为什么值得看
公告给出了匿名读取私有页面的 curl 复现步骤，并指出 getOne 与 all=1 两处缺少权限校验的代码位置。
来源：GitHub 安全公告库 (GHSA) · github.com