ApostropheCMS slugTaken 接口泄露私有内容

ApostropheCMS 的 POST /api/v1/@apostrophecms/doc/slugTaken 接口存在信息泄露问题：任意已登录用户（editor 角色即可）可通过该接口返回的布尔值，枚举私有页面、草稿与归档内容的 slug。GitHub 安全公告库（GHSA）披露了这一漏洞。 据 GHSA 说明，该接口在判断 slug 是否被占用时，不检查请求用户对相应文档类型是否具有读取权限，也不按 visibility（public、loginRequired、private）或发布状态（草稿或已发布）过滤，因此会暴露全部内容结构。 影响范围限于已认证用户，未登录者无法直接利用；但低权限账号即可借此摸清 CMS 中本不可见的私有内容存在性。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。