PT-2026-41135 · Apostrophecms+2 · @Apostrophecms/Cli+1

CVE-2026-42853 · Publicado 2026-05-14 · Atualizado 2026-06-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:L/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas @apostrophecms/cli versões anteriores a 3.6.1

Description ApostropheCMS é um sistema de gerenciamento de conteúdo de código aberto em Node.js. O pacote @apostrophecms/cli contém um problema de injeção de comando no comando apos create. A entrada fornecida pelo usuário no prompt de senha é incorporada diretamente em um comando de shell sem a devida sanitização ou escape, permitindo a execução de comandos arbitrários no sistema host com os privilégios do usuário que executa a CLI. Isso ocorre no arquivo lib/commands/create.js, onde a variável pw é passada para a função exec() sem validação, permitindo que metacaracteres de shell interrompam o comando pretendido.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-42853

GHSA-HCWQ-X9FW-8CFQ

Produtos afetados

@Apostrophecms/Cli

Apostrophe

Referências · 9

• 🔥 https://github.com/apostrophecms/apostrophe/security/advisories/GHSA-hcwq-x9fw-8cfq · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/42xxx/CVE-2026-42853.json · Exploit
• https://github.com/apostrophecms/apostrophe · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42853 · Nota de Segurança
• https://twitter.com/CVEnew/status/2066216173709021371 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2066216954717692083 · Publicação no Twitter
• https://t.me/cveNotify/167309 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hcwq-x9fw-8cfq · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-42853 · Aviso do Fabricante