CVE-2023-34093
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8 pozwalał na publiczne udostępnienie atrybutów typu treści przez każdego, kto korzysta z systemu. W wyniku tej podatności, użytkownicy mogli nieświadomie usunąć mechanizm ochrony atrybutów prywatnych, co prowadziło do ujawnienia wrażliwych informacji.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie wrażliwych danych lub przejęcie kontroli nad systemem przez atakującego, który uzyska dostęp do haszy haseł. Potencjalne ryzyko dotyczy wszystkich użytkowników, którzy modyfikują lub rozszerzają typy treści.
Rekomendacja
Zaleca się aktualizację do wersji 4.10.8, która zawiera poprawkę eliminującą tę podatność. Użytkownicy powinni również zwrócić uwagę na sposób, w jaki modyfikują typy treści, aby uniknąć niezamierzonego ujawnienia atrybutów.
Inne podatności w Strapi
Zobacz wszystkie- CVE-2026-27886Wysokie
Strapi to otwartoźródłowy system zarządzania treścią, który w wersjach od 4.0.0 do przed 5.37.0 nie wystarczająco sanitizował parametry zapytań przy filtrowaniu treści przez pola relacyjne. Atakujący bez uwierzytelnienia mógł wykorzystać parametr zapytania `where`, aby przeprowadzić atak boolean-oracle na prywatnych polach w tabeli `admin_users`, co umożliwiało przejęcie konta administratora.
- CVE-2026-90561Wysokie
Strapi w wersjach 4.x do 4.26.2 oraz 5.x przed 5.48.1 zawiera podatność stored cross-site scripting w komponencie podglądu WYSIWYG menedżera treści, który nie usuwa znaczników script z tekstu sformatowanego. Użytkownik z rolą Author może zapisać złośliwe znaczniki script w polach tekstu sformatowanego, które wykonują się w sesji Editora lub Super Admina po rozwinięciu panelu podglądu, umożliwiając przejęcie konta.
- CVE-2026-57997Średnie
Wtyczka users-permissions w Strapi nie ogranicza algorytmów JWT, gdy parametr plugin::users-permissions.jwt.algorithm nie jest jawnie skonfigurowany, co pozwala na akceptację tokenów HS384 i HS512 obok domyślnego HS256. Atakujący posiadający jwtSecret może tworzyć tokeny z niestandardowymi wariantami HMAC, omijając ograniczenia algorytmów i osłabiając kontrolę uwierzytelniania.
- CVE-2023-34235Wysokie
Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8, umożliwia wyciek prywatnych pól przy użyciu prefiksu `t(number)`. Zmiana prefiksu w zapytaniach Knex może prowadzić do odsłonięcia chronionych danych, takich jak hasła administratorów.
- CVE-2022-32114Wysokie
Podatność w Strapi 4.1.12 w funkcji dodawania nowych zasobów pozwala na nieograniczone przesyłanie plików, co umożliwia ataki XSS poprzez spreparowany plik PDF. Projekt dokumentacji sugeruje, że użytkownik z uprawnieniami do przesyłania plików w bibliotece multimediów może przesyłać pliki PDF zawierające JavaScript, a wszystkie pliki w publicznym folderze są dostępne z zewnątrz.
Oryginalny opis (angielski, źródło NVD)
Strapi is an open-source headless content management system. Prior to version 4.10.8, anyone (Strapi developers, users, plugins) can make every attribute of a Content-Type public without knowing it. The vulnerability only affects the handling of content types by Strapi, not the actual content types themselves. Users can use plugins or modify their own content types without realizing that the `privateAttributes` getter is being removed, which can result in any attribute becoming public. This can lead to sensitive information being exposed or the entire system being taken control of by an attacker(having access to password hashes). Anyone can be impacted, depending on how people are using/extending content-types. If the users are mutating the content-type, they will not be affected. Version 4.10.8 contains a patch for this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS