Node.js版ApostropheCMSのcleanExport無認証実行

Node.js — CVE-2026-113648

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

import-exportのAPIの一部で、認証や権限確認なしに処理を呼び出せる状態があります。サイトを訪れただけで得られる通常のCSRF cookieがあると、外部から実行される可能性があります。

放置するとどうなるか

不要な処理が勝手に走り、サーバー負荷や運用トラブルにつながるおそれがあります。設定次第では、データの出力処理が意図せず実行される可能性もあります。

今すぐやること

import-exportを3.7.1へ更新してください。該当APIが外部から呼べないよう、権限設定と公開範囲を確認してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「Prior to 3.7.1」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, the API endpoint POST /api/v1/@apostrophecms/import-export/clean-export in @apostrophecms/import-export lacks authentication and authorization checks. Any client—including unauthenticated anonymous users who have obtained the standard CSRF cookie from visiting the site—can directly invoke this route and trigger the underlying self.cleanExport(req) method. This issue is fixed in version 3.7.1.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。