CVE-2023-34093
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8 pozwalał na publiczne udostępnienie atrybutów typu treści przez każdego, kto korzysta z systemu. W wyniku tej podatności, użytkownicy mogli nieświadomie usunąć mechanizm ochrony atrybutów prywatnych, co prowadziło do ujawnienia wrażliwych informacji.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie wrażliwych danych lub przejęcie kontroli nad systemem przez atakującego, który uzyska dostęp do haszy haseł. Potencjalne ryzyko dotyczy wszystkich użytkowników, którzy modyfikują lub rozszerzają typy treści.
Rekomendacja
Zaleca się aktualizację do wersji 4.10.8, która zawiera poprawkę eliminującą tę podatność. Użytkownicy powinni również zwrócić uwagę na sposób, w jaki modyfikują typy treści, aby uniknąć niezamierzonego ujawnienia atrybutów.
Oryginalny opis (angielski, źródło NVD)
Strapi is an open-source headless content management system. Prior to version 4.10.8, anyone (Strapi developers, users, plugins) can make every attribute of a Content-Type public without knowing it. The vulnerability only affects the handling of content types by Strapi, not the actual content types themselves. Users can use plugins or modify their own content types without realizing that the `privateAttributes` getter is being removed, which can result in any attribute becoming public. This can lead to sensitive information being exposed or the entire system being taken control of by an attacker(having access to password hashes). Anyone can be impacted, depending on how people are using/extending content-types. If the users are mutating the content-type, they will not be affected. Version 4.10.8 contains a patch for this issue.