CVE-2026-86777mediumCWE-862

CVE-2026-86777: falha de média gravidade em AlchemyCMS alchemy_cms

AlchemyCMS before 7.4.16 and 8.x before 8.3.6 Missing Authorization on GET /api/nodes

Publicada em

Seguir esta CVE+ Monitorar alchemy cms

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.6%
AlchemyCMS versions before 7.4.16 and 8.x before 8.3.6 fail to authorize access to the GET /api/nodes endpoint, allowing unauthenticated attackers to retrieve all navigation nodes. Attackers can access the endpoint without authentication to disclose restricted page names, URL paths, and internal URLs from all sites and languages.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
AlchemyCMS · alchemy_cms
CVEs relacionadas — AlchemyCMS alchemy_cms

No mesmo produto, das mais perigosas para as menos.

CVE-2026-57579HIGHAlchemy: Unauthenticated nested page API leaks restricted & unpublished contentEPSS 0.6%CVE-2026-23885MEDIUMAlchemyCMS has Authenticated Remote Code Execution (RCE) via eval injection in ResourcesHelperEPSS 0.5%