6.9
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
AlchemyCMS versions before 7.4.16 and 8.x before 8.3.6 fail to authorize access to the GET /api/nodes endpoint, allowing unauthenticated attackers to retrieve all navigation nodes. Attackers can access the endpoint without authentication to disclose restricted page names, URL paths, and internal URLs from all sites and languages.
Засегнати продукти
- AlchemyCMS alchemy_cms: преди 7.4.16; 8.0.0 преди 8.3.6
Вид слабост
История
- 9 септември 2026 Публикувано
Други уязвимости в AlchemyCMS alchemy_cms
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-86777
- https://nvd.nist.gov/vuln/detail/CVE-2026-86777
- https://github.com/AlchemyCMS/alchemy_cms/security/advisories/GHSA-wppq-8h64-w78r
- https://github.com/AlchemyCMS/alchemy_cms/commit/5e2cd16a806c9d2df3eb6e3c889402487e0085b6
- https://github.com/AlchemyCMS/alchemy_cms/commit/9bdb98496d6f17277ed05dd1abc3188f880aa554
- https://github.com/AlchemyCMS/alchemy_cms/blob/v8.3.5/app/controllers/alchemy/api/nodes_controller.rb
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v8.3.6
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v7.4.16
- https://github.com/AlchemyCMS/alchemy_cms
- https://www.vulncheck.com/advisories/alchemycms-before-7.4.16-and-8-x-before-8.3.6-missing-authorization-on-get-api-nodes