ApostropheCMS 导出文件名可预测致泄露

GitHub 安全公告库发布公告称，ApostropheCMS 的 `@apostrophecms/import-export` 模块在导出内容时，文件名仅由站点 shortName、文档类型和 `YYYYMMDDHHmmss` 时间戳组成，不含随机令牌。导出包被复制到 uploadfs 的 `/exports/` 下，并通过 `/uploads/exports/` 的公开 URL 提供；在文件存续期内，任何人只要猜到路径，就能用普通未认证 HTTP GET 下载完整导出包。 该问题需同时满足：模块已启用且至少一种页面或 piece 类型允许导出；导出文件按常规方式经公开 uploads URL 提供（默认本地 uploadfs，或任何不按文件鉴权的同类部署）。文件默认存续 10 分钟，站点调高 `importExport.export.expiration` 后会更久。 公告建议在导出文件名中加入高熵成分（如 `apos.util.generateId()`），或采取其他等效防护。

AI 根据报道生成 · 16 小时前更新