Aktywnie wykorzystywana w atakach
Strapi Cleartext Storage of Sensitive Information Vulnerability
Strapi - Strapi · Figuruje w katalogu CISA KEV od 2026-10-08. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2023-22894
ŚrednieCVSS 4.9KEVPrawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
Strapi do wersji 4.5.5 pozwala atakującym z dostępem do panelu administracyjnego na odkrycie wrażliwych danych użytkowników poprzez wykorzystanie filtra zapytań. Atakujący może filtrować użytkowników po kolumnach zawierających wrażliwe informacje i wywnioskować wartości z odpowiedzi API. Super admin może odkryć hashe haseł i tokeny resetowania haseł wszystkich użytkowników.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych danych użytkowników, w tym hashy haseł i tokenów resetowania, co może prowadzić do przejęcia kont i naruszenia prywatności.
Rekomendacja
Zaktualizuj Strapi do wersji 4.5.6 lub nowszej, która zawiera poprawkę. Ogranicz uprawnienia kont administratorów i regularnie audytuj dostęp do panelu.
Inne podatności w Strapi
Zobacz wszystkie- CVE-2026-27886Wysokie
Strapi to otwartoźródłowy system zarządzania treścią, który w wersjach od 4.0.0 do przed 5.37.0 nie wystarczająco sanitizował parametry zapytań przy filtrowaniu treści przez pola relacyjne. Atakujący bez uwierzytelnienia mógł wykorzystać parametr zapytania `where`, aby przeprowadzić atak boolean-oracle na prywatnych polach w tabeli `admin_users`, co umożliwiało przejęcie konta administratora.
- CVE-2026-90561Wysokie
Strapi w wersjach 4.x do 4.26.2 oraz 5.x przed 5.48.1 zawiera podatność stored cross-site scripting w komponencie podglądu WYSIWYG menedżera treści, który nie usuwa znaczników script z tekstu sformatowanego. Użytkownik z rolą Author może zapisać złośliwe znaczniki script w polach tekstu sformatowanego, które wykonują się w sesji Editora lub Super Admina po rozwinięciu panelu podglądu, umożliwiając przejęcie konta.
- CVE-2026-57997Średnie
Wtyczka users-permissions w Strapi nie ogranicza algorytmów JWT, gdy parametr plugin::users-permissions.jwt.algorithm nie jest jawnie skonfigurowany, co pozwala na akceptację tokenów HS384 i HS512 obok domyślnego HS256. Atakujący posiadający jwtSecret może tworzyć tokeny z niestandardowymi wariantami HMAC, omijając ograniczenia algorytmów i osłabiając kontrolę uwierzytelniania.
- CVE-2023-34235Wysokie
Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8, umożliwia wyciek prywatnych pól przy użyciu prefiksu `t(number)`. Zmiana prefiksu w zapytaniach Knex może prowadzić do odsłonięcia chronionych danych, takich jak hasła administratorów.
- CVE-2023-34093Średnie
Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8 pozwalał na publiczne udostępnienie atrybutów typu treści przez każdego, kto korzysta z systemu. W wyniku tej podatności, użytkownicy mogli nieświadomie usunąć mechanizm ochrony atrybutów prywatnych, co prowadziło do ujawnienia wrażliwych informacji.
- CVE-2022-32114Wysokie
Podatność w Strapi 4.1.12 w funkcji dodawania nowych zasobów pozwala na nieograniczone przesyłanie plików, co umożliwia ataki XSS poprzez spreparowany plik PDF. Projekt dokumentacji sugeruje, że użytkownik z uprawnieniami do przesyłania plików w bibliotece multimediów może przesyłać pliki PDF zawierające JavaScript, a wszystkie pliki w publicznym folderze są dostępne z zewnątrz.
Oryginalny opis (angielski, źródło NVD)
Strapi through 4.5.5 allows attackers (with access to the admin panel) to discover sensitive user details by exploiting the query filter. The attacker can filter users by columns that contain sensitive information and infer a value from API responses. If the attacker has super admin access, then this can be exploited to discover the password hash and password reset token of all users. If the attacker has admin panel access to an account with permission to access the username and email of API users with a lower privileged role (e.g., Editor or Author), then this can be exploited to discover sensitive information for all API users but not other admin accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS