ApostropheCMS 投影绕过漏洞 PoC 公开

GitHub 安全公告库公开了 ApostropheCMS 一个未认证绕过 publicApiProjection 的漏洞（GHSA-rqgm-cfrp-4hx8）的 PoC。公告称，公共 REST API 处理匿名请求时会先执行 query string 中所有可 launder 的查询构造器，再套用 publicApiProjection，而 search 与 sort 构造器作用于底层文档、不受投影限制，因此未认证即可探测本应隐藏的字段。 公告称该问题已在 4.32.2 及 MongoDB 7.0 上验证，无需认证或用户交互。触发条件是：piece/page 类型设置了 publicApiProjection，且其 schema 至少有一个未包含在投影中的可搜索（默认）或可排序字段。 公告称，受影响的是在 piece 类型或页面上配置了 publicApiProjection 的站点，版本截至 4.32.2（含），当前 main 分支仍存在同一代码路径。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。