GHSA 公告 ApostropheCMS 导入导出越权替换漏洞

GitHub 安全公告库（GHSA）就 @apostrophecms/import-export 3.7.0 发布安全公告：该版本的 overrideDuplicates() 续接逻辑仍接受客户端提供的替换选择，未将其绑定到服务端维护、归用户所有的重复分析，替换与写入辅助函数在更新前也未建立统一的资源身份与授权上下文，因此贡献者可能借重复替换越过发布边界、覆盖已发布内容。 公告称，这一越权序列来自原始报告，描述的是在启用了导入的本地化类型上通过重复替换实现；公告同时表示，尚未在 3.7.0 上复现该端到端过程。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。