Node.jsの脆弱性情報

Node.js — CVE-2026-113710

ApostropheCMSの一部で、ログイン済みの利用者がパスワード変更時の確認を何度も試せる問題です。試行回数の制限が効かないため、繰り返し入力が可能になります。

ApostropheCMSを4.33.0へ更新してください。管理者アカウントは強いパスワードにし、使い回しを...

Node.js — CVE-2026-113671

ApostropheCMSのAI機能の一部で、画像の処理時に外部の指定先へアクセスしてしまう問題です。条件がそろうと、利用者が指定したホストへサーバーから通信させられる可能性があります。

AI helper 1.0.0-beta.13へ更新してください。画像生成機能を使っていないなら無効化し、外部か...

Node.js — CVE-2026-113669

ApostropheCMSで、別の端末や言語設定への移行時に、使い切りのログイン用URLが露出する問題です。先にそのURLを使われると、他人のセッションを引き継がれるおそれがあります。

ApostropheCMSを4.33.0へ、passport-bridgeを1.6.1へ更新してください。セッション移行のURLを共...

Node.js — CVE-2026-113668

ApostropheCMSで、ログインしていない人でも特定のページや文書が存在するかを調べられる問題です。公開したくない下書きや翻訳情報まで分かるおそれがあります。

ApostropheCMSを4.33.0へ更新してください。公開前の検証環境も含めて、該当APIを外部から触れな...

Node.js — CVE-2026-113667

ApostropheCMSのCAPTCHA連携で、入力された文字列の扱いが不十分な問題です。細工した値で確認処理を乱し、フォーム送信やログインの妨害につながるおそれがあります。

Form 1.5.5、login-recaptcha 1.2.1、login-hcaptcha 1.3.0へ更新してください。該当機能を使っ...

Node.js — CVE-2026-113659

ApostropheCMSで、細工したリンクを開かせると、管理画面の中で不適切な処理が起きる問題です。閲覧者の画面でスクリプトが動くおそれがあります。

ApostropheCMSを4.33.0へ更新してください。管理画面を使う利用者には、不審なリンクを開かない...

Node.js — CVE-2026-113662

ApostropheCMSのimport-exportで、取り込み時の条件がずれて、別の文書に更新が当たるおそれがある問題です。ただし、勝手に権限のない文書を上書きできるわけではありません。

import-exportを3.7.0へ更新してください。取り込み前にテスト環境で動作確認を行い、対象データ...

Node.js — CVE-2026-113664

ApostropheCMSのimport-exportで、取り込み用のデータに細工すると処理エラーが起きる問題です。特定の条件ではNode.jsの処理が止まるおそれがあります。

import-exportを3.7.0へ更新してください。外部データの取り込みは、信頼できるファイルだけに限...

Node.js — CVE-2026-113661

sanitize-htmlで、特別な設定を使うと安全でないリンク先や転送先が残る問題です。表示したページから、危険な場所へ誘導されるおそれがあります。

sanitize-htmlを2.18.0へ更新してください。meta refreshを許可している設定がないか確認し、不...

Node.js — CVE-2026-113660

ApostropheCMSで、権限の弱い利用者が下書きの有無やロケール情報を調べられる問題です。本来は見えない文書の存在を推測できてしまいます。

ApostropheCMSを4.33.0へ更新してください。下書き閲覧権限の扱いも見直し、不要な権限は外しま...

Node.js — CVE-2026-113655

制限付きの親ページの下にあるページで、編集権限のある利用者が並び順だけを変えられる場合があります。新規作成の権限がなくても、同じ親の中で順番変更ができてしまうことがあります。

ApostropheCMSを4.33.0へ更新してください。制限付きページ配下の運用がある場合は、編集権限の...