ApostropheCMS es un marco de gestión de contenido de código abierto. Antes de la versión 3.5.3 de `@apostrophecms/import-export`, la función `extract()` en `gzip.js` construye rutas de escritura de archivos utilizando `fs.createWriteStream(path.join(exportPath, header.name))`. `path.join()` no resuelve ni sanitiza segmentos de recorrido como `../`. Los concatena tal cual, lo que significa que una entrada tar llamada `../../evil.js` resuelve en una ruta fuera del directorio de extracción previsto. No se realiza una comprobación de ruta canónica antes de

La falla Zip Slip en ApostropheCMS permite a un atacante, a través de la manipulación de archivos comprimidos (tar), sobrescribir archivos críticos del sistema. Un atacante podría subir un archivo malicioso con una ruta como ../../evil.js que, debido a la falta de validación de rutas, sería escrito en un directorio inesperado, como la raíz del sistema de archivos. Esto podría resultar en la ejecución remota de código, la pérdida de datos, o la toma de control completa del servidor. La falta de una verificación de ruta canónica antes de la escritura del stream agrava el problema, facilitando la explotación. Este tipo de vulnerabilidad es similar a otras fallas Zip Slip que han afectado a diversas aplicaciones de manejo de archivos.

ApostropheCMS installations using @apostrophecms/import-export versions prior to 3.5.3 are at risk. This includes developers and system administrators who manage ApostropheCMS deployments, particularly those who allow users to upload files via the import-export functionality. Shared hosting environments running ApostropheCMS are also at increased risk, as a compromised user account could potentially exploit this vulnerability to gain access to the entire server.

• nodejs / server:

find /path/to/node_modules/@apostrophecms/import-export/gzip.js -exec grep -i 'path.join(exportPath, header.name)' {}

• linux / server:

journalctl -f -u node | grep -i "extract()"

• generic web:

curl -I http://your-apostrophe-site.com/import-export/upload.php?file=../../evil.txt

1. 2026-03-18Disclosure

   disclosure

2. 2026-03-18Patch

   patch

1. Reservado2026-03-13
2. Publicada2026-03-18
3. Modificada2026-03-24
4. EPSS actualizado2026-03-26

La mitigación principal para CVE-2026-32731 es actualizar ApostropheCMS a la versión 3.5.3 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar una validación estricta de las rutas de los archivos antes de la escritura. Esto puede lograrse mediante el uso de la función path.resolve() para normalizar las rutas y asegurar que se encuentren dentro del directorio de exportación previsto. Además, se puede implementar una capa de seguridad como un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que intenten manipular las rutas de los archivos. La monitorización de los logs del sistema en busca de intentos de escritura de archivos fuera del directorio esperado también puede ayudar a detectar y responder a posibles ataques.