CVE-2026-32730 ApostropheCMS 认证绕过漏洞

ApostropheCMS是一个开源内容管理框架。在4.28.0之前的版本中，其bearer token认证中间件存在严重的认证绕过漏洞。该漏洞位于@apostrophecms/express/index.js文件中的认证逻辑存在缺陷，通过构造特殊的请求可以绕过多因素认证机制。攻击者能够利用这个漏洞获取未授权的访问权限，可能导致敏感数据泄露、系统完全被控制等严重后果。

漏洞存在于ApostropheCMS的bearer token认证中间件中。攻击者可以通过精心构造的请求，利用不正确的MongoDB查询逻辑，绕过TOTP/MFA验证。具体来说，当用户完成密码验证但未完成多因素认证时，系统仍然会生成有效的bearer token，使得攻击者能够以完全认证的身份访问系统资源。