ApostropheCMSはオープンソースのNode.jsコンテンツ管理システムです。commit 49d0bb7で導入されたリグレッションにより、ApostropheCMSが管理するsanitize-htmlパッケージのバージョン2.17.1に含まれるものにおいて、nonTextTagsArray要素（textareaとoption）内のテキストに対するallowedTagsの適用が回避されます。ApostropheCMSバージョン4.28.0は、脆弱なsanitize-htmlバージョンの依存関係により影響を受けます。packages/sanitize-html/index.jsの569-573行目のコードは、htmlparser2がエンティティをデコードしないと誤って想定しています。

CVE-2026-40186 は、ApostropheCMS が sanitize-html ライブラリに依存していることによって影響を受けます。sanitize-html のバージョン 2.17.1 に導入された回帰により、nonTextTagsArray に含まれていない要素（特に textarea および option）内のテキストに対する allowedTags の適用が回避されます。つまり、攻撃者は通常保護されているべきリッチテキストフィールド内に悪意のある HTML コードを注入できる可能性があります。この脆弱性は、sanitize-html コード内の htmlparser2 による HTML デコードに関する誤った仮定が原因です。ApostropheCMS のバージョン 4.28.0 は、この依存関係により影響を受けます。HTML 注入により、ユーザーのブラウザでスクリプトが実行されたり、機密情報が盗まれたり、ウェブサイトのコンテンツが変更されたりする可能性があります。

Organizations using ApostropheCMS versions prior to 4.28.0 are at risk. This includes websites and applications built on ApostropheCMS that handle user-generated content, particularly those that rely on textarea and option elements for input. Shared hosting environments utilizing ApostropheCMS are also at increased risk due to the potential for cross-tenant exploitation.

• nodejs / server:

  npm list sanitize-html

• nodejs / server:

  npm audit sanitize-html

• generic web: Inspect ApostropheCMS templates for unsanitized user input within textarea and option elements. Look for patterns that bypass HTML escaping. • generic web: Review access logs for unusual JavaScript execution patterns or requests containing suspicious characters within form fields.

1. 2026-04-15Disclosure

   disclosure

1. 予約済み2026-04-09
2. 公開日2026-04-15
3. 更新日2026-04-17
4. EPSS 更新日2026-04-23

推奨される解決策は、ApostropheCMS をバージョン 4.28.1 以降に更新するか、sanitize-html ライブラリをバージョン 2.17.2 以降に更新することです。この更新により、allowedTags の制限を回避できる回帰が修正されます。更新が適用されるまで、追加の軽減策として、サーバー側のすべてのユーザー入力を厳密に検証し、信頼できないソースからのスクリプトの実行を制限するためにコンテンツセキュリティポリシー (CSP) を実装することを推奨します。ウェブサイトのセキュリティを確保するために、ApostropheCMS のすべての依存関係をレビューおよび更新することが重要です。更新後には、徹底的なテストを実施して、脆弱性が修正され、ウェブサイトが正しく機能することを確認することを推奨します。