ApostropheCMS の公開APIに非公開情報推測の脆弱性

Node.js — CVE-2026-112954

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

公開APIで、検索や並び替えの結果から、見せないはずの項目の有無を推測できる問題です。値そのものは返らなくても、隠したい情報の手がかりになります。

放置するとどうなるか

非公開項目の存在や内容の一部が推測される可能性があります。機密情報の探索やサイト解析に悪用されるおそれがあります。

今すぐやること

ApostropheCMS を 4.34.0 へ更新してください。公開APIで返す項目と検索条件を見直し、不要な情報が推測されないか確認しましょう。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「4.34.0 より前」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, a public REST API type that uses publicApiProjection can expose excluded searchable or sortable field information through search membership and sort ordering oracles. Returned fields remain filtered by the projection, so the issue permits targeted inference about hidden values rather than an unrestricted field dump. This issue is fixed in version 4.34.0.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。