ApostropheCMS एक ओपन-सोर्स Node.js कंटेंट मैनेजमेंट सिस्टम है। कमिट 49d0bb7 में पेश किया गया एक रिग्रेशन, sanitize-html पैकेज के संस्करण 2.17.1 में शामिल है, जो nonTextTagsArray तत्वों (textarea और option) के अंदर टेक्स्ट के लिए allowedTags प्रवर्तन को बायपास करता है। ApostropheCMS संस्करण 4.28.0, कमजोर sanitize-html संस्करण पर निर्भरता के माध्यम से प्रभावित होता है। packages/sanitize-html/index.js:569-573 पर कोड गलत तरीके से मानता है कि htmlparser2 एंटिटीज को डिकोड नहीं करता है,

यह भेद्यता हमलावरों को वेबसाइट पर दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति दे सकती है, जिससे उपयोगकर्ता डेटा चोरी हो सकता है, सत्र हाईजैक हो सकते हैं, या वेबसाइट की सामग्री में हेरफेर किया जा सकता है। हमलावर टेक्स्ट क्षेत्रों के माध्यम से स्क्रिप्ट इंजेक्ट कर सकते हैं, जो तब अन्य उपयोगकर्ताओं के ब्राउज़र में निष्पादित हो सकती हैं। यह विशेष रूप से उन वेबसाइटों के लिए चिंताजनक है जो उपयोगकर्ता-जनित सामग्री पर निर्भर करती हैं, जैसे कि ब्लॉग या फ़ोरम। इस भेद्यता का शोषण करने के लिए, एक हमलावर को एक टेक्स्ट क्षेत्र में दुर्भावनापूर्ण HTML कोड इंजेक्ट करने में सक्षम होना चाहिए। यह आमतौर पर एक क्रॉस-साइट स्क्रिप्टिंग (XSS) हमले के माध्यम से किया जा सकता है।

Organizations using ApostropheCMS versions prior to 4.28.0 are at risk. This includes websites and applications built on ApostropheCMS that handle user-generated content, particularly those that rely on textarea and option elements for input. Shared hosting environments utilizing ApostropheCMS are also at increased risk due to the potential for cross-tenant exploitation.

• nodejs / server:

  npm list sanitize-html

• nodejs / server:

  npm audit sanitize-html

• generic web: Inspect ApostropheCMS templates for unsanitized user input within textarea and option elements. Look for patterns that bypass HTML escaping. • generic web: Review access logs for unusual JavaScript execution patterns or requests containing suspicious characters within form fields.

1. 2026-04-15Disclosure

   disclosure

1. आरक्षित2026-04-09
2. प्रकाशित2026-04-15
3. संशोधित2026-04-17
4. EPSS अद्यतन2026-04-23

CVE-2026-40186 को कम करने के लिए, ApostropheCMS को तुरंत संस्करण 2.17.2 में अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके टेक्स्ट क्षेत्रों में HTML इंजेक्शन को रोकने का प्रयास किया जा सकता है। इसके अतिरिक्त, इनपुट को सैनिटाइज करने और आउटपुट को एस्केप करने के लिए अतिरिक्त सुरक्षा उपायों को लागू किया जा सकता है। अस्थायी रूप से, टेक्स्ट क्षेत्रों में HTML इनपुट को अक्षम करने पर विचार करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, वेबसाइट के सभी टेक्स्ट क्षेत्रों का परीक्षण करें।