ApostropheCMS: Bypass de sanitize-html allowedTags via Decodificação de Entidade em Elementos nonTextTags

A vulnerabilidade CVE-2026-40186 afeta o ApostropheCMS através da sua dependência da biblioteca sanitize-html. Uma regressão introduzida na versão 2.17.1 do sanitize-html permite contornar a aplicação das restrições de allowedTags para texto dentro de elementos que não pertencem ao array nonTextTagsArray (especificamente, textarea e option). Isso significa que um atacante pode injetar código HTML malicioso dentro de campos de texto enriquecido que, normalmente, deveriam estar protegidos. A vulnerabilidade se deve a uma suposição incorreta no código do sanitize-html sobre a decodificação de HTML por parte do htmlparser2. A versão 4.28.0 do ApostropheCMS é afetada devido a esta dependência. A injeção de código HTML pode levar à execução de scripts no navegador do utilizador, roubo de informações sensíveis ou à modificação do conteúdo do site.

Organizations using ApostropheCMS versions prior to 4.28.0 are at risk. This includes websites and applications built on ApostropheCMS that handle user-generated content, particularly those that rely on textarea and option elements for input. Shared hosting environments utilizing ApostropheCMS are also at increased risk due to the potential for cross-tenant exploitation.

• nodejs / server:

  npm list sanitize-html

• nodejs / server:

  npm audit sanitize-html

• generic web: Inspect ApostropheCMS templates for unsanitized user input within textarea and option elements. Look for patterns that bypass HTML escaping. • generic web: Review access logs for unusual JavaScript execution patterns or requests containing suspicious characters within form fields.

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-04-09
2. Publicada2026-04-15
3. Modificada2026-04-17
4. EPSS atualizado2026-04-23

A solução recomendada é atualizar o ApostropheCMS para a versão 4.28.1 ou superior, ou atualizar a biblioteca sanitize-html para a versão 2.17.2 ou superior. Esta atualização corrige a regressão que permite contornar as restrições de allowedTags. Enquanto a atualização não for realizada, recomenda-se aplicar medidas de mitigação adicionais, como a validação rigorosa de todas as entradas do utilizador no lado do servidor e a implementação de uma política de segurança de conteúdo (CSP) para restringir a execução de scripts de fontes não confiáveis. É crucial rever e atualizar todas as dependências do ApostropheCMS para garantir a segurança do site. Recomenda-se realizar testes exaustivos após a atualização para verificar se a vulnerabilidade foi corrigida e se o site funciona corretamente.