Podatności Strapi

Strapi to otwartoźródłowy system zarządzania treścią, który w wersjach od 4.0.0 do przed 5.37.0 nie wystarczająco sanitizował parametry zapytań przy filtrowaniu treści przez pola relacyjne. Atakujący bez uwierzytelnienia mógł wykorzystać parametr zapytania `where`, aby przeprowadzić atak boolean-oracle na prywatnych polach w tabeli `admin_users`, co umożliwiało przejęcie konta administratora.

Wtyczka users-permissions w Strapi nie ogranicza algorytmów JWT, gdy parametr plugin::users-permissions.jwt.algorithm nie jest jawnie skonfigurowany, co pozwala na akceptację tokenów HS384 i HS512 obok domyślnego HS256. Atakujący posiadający jwtSecret może tworzyć tokeny z niestandardowymi wariantami HMAC, omijając ograniczenia algorytmów i osłabiając kontrolę uwierzytelniania.

Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8, umożliwia wyciek prywatnych pól przy użyciu prefiksu `t(number)`. Zmiana prefiksu w zapytaniach Knex może prowadzić do odsłonięcia chronionych danych, takich jak hasła administratorów.

Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8 pozwalał na publiczne udostępnienie atrybutów typu treści przez każdego, kto korzysta z systemu. W wyniku tej podatności, użytkownicy mogli nieświadomie usunąć mechanizm ochrony atrybutów prywatnych, co prowadziło do ujawnienia wrażliwych informacji.

Podatność w Strapi 4.1.12 w funkcji dodawania nowych zasobów pozwala na nieograniczone przesyłanie plików, co umożliwia ataki XSS poprzez spreparowany plik PDF. Projekt dokumentacji sugeruje, że użytkownik z uprawnieniami do przesyłania plików w bibliotece multimediów może przesyłać pliki PDF zawierające JavaScript, a wszystkie pliki w publicznym folderze są dostępne z zewnątrz.