ApostropheCMS est un framework de gestion de contenu open-source. Avant la version 3.5.3 de `@apostrophecms/import-export`, la fonction `extract()` dans `gzip.js` construit les chemins d'écriture de fichiers en utilisant `fs.createWriteStream(path.join(exportPath, header.name))`. `path.join()` ne résout ni ne désinfecte les segments de parcours tels que `../`. Il les concatène tels quels, ce qui signifie qu'une entrée tar nommée `../../evil.js` se résout en un chemin en dehors du répertoire d'extraction prévu. Aucune vérification de chemin canonique n'est effectuée avant

L'exploitation réussie de cette vulnérabilité permet à un attaquant de contourner les mécanismes de sécurité et d'écrire des fichiers dans des emplacements inattendus sur le système de fichiers. Un attaquant pourrait, par exemple, écrire un fichier PHP malveillant dans le répertoire racine du site web, ce qui lui permettrait d'exécuter du code arbitraire sur le serveur. Cela pourrait conduire à la compromission complète du système, à la perte de données sensibles, ou à l'utilisation du serveur pour lancer d'autres attaques. Cette vulnérabilité présente des similitudes avec les attaques de type Zip Slip observées dans d'autres applications, où la manipulation des chemins d'extraction permet de contourner les restrictions d'accès.

ApostropheCMS installations using @apostrophecms/import-export versions prior to 3.5.3 are at risk. This includes developers and system administrators who manage ApostropheCMS deployments, particularly those who allow users to upload files via the import-export functionality. Shared hosting environments running ApostropheCMS are also at increased risk, as a compromised user account could potentially exploit this vulnerability to gain access to the entire server.

• nodejs / server:

find /path/to/node_modules/@apostrophecms/import-export/gzip.js -exec grep -i 'path.join(exportPath, header.name)' {}

• linux / server:

journalctl -f -u node | grep -i "extract()"

• generic web:

curl -I http://your-apostrophe-site.com/import-export/upload.php?file=../../evil.txt

1. 2026-03-18Disclosure

   disclosure

2. 2026-03-18Patch

   patch

1. Réservé2026-03-13
2. Publiée2026-03-18
3. Modifiée2026-03-24
4. EPSS mis à jour2026-03-26

La mitigation principale consiste à mettre à jour ApostropheCMS vers la version 3.5.3 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une mesure temporaire consiste à restreindre les autorisations d'écriture sur le répertoire d'extraction. Il est également recommandé de mettre en place une validation stricte des noms de fichiers lors de l'importation, afin de bloquer les tentatives d'injection de chemins malveillants. L'utilisation d'un Web Application Firewall (WAF) peut également aider à détecter et à bloquer les requêtes malveillantes. Après la mise à jour, vérifiez l'intégrité des fichiers et examinez les journaux d'accès pour détecter toute activité suspecte.