GHSA 通告 ApostropheCMS 导入 API 权限绕过

GitHub 安全公告库（GHSA）发布通告称，ApostropheCMS 的 @apostrophecms/import-export 3.7.0 存在导入权限绕过：canImportOrExport() 的导入校验只检查该类型的导入配置与查看权限，写入辅助函数直接调用 document-manager 的 insert/update，缺少正常发布权限检查和 beforePublish 过渡。 通告描述的安全边界是：编辑者可以编辑某类内容，但发布该类内容需要更高角色。GHSA 同时表示，当前的可利用性与影响仍需维护者验证，上述观察只能说明公开源码中缺少这些检查。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。