CVE-2022-30617
Təsvir
Strapi admin panelinə giriş imkanı olan autentifikasiya olunmuş istifadəçi, özünün əlçatan olduğu məzmunla əlaqəsi (məsələn, yaradan, yeniləyən) olan digər admin paneli istifadəçiləri üçün e-poçt və şifrə sıfırlama tokenləri kimi gizli və həssas məlumatları görə bilər. Məsələn, aşağı səlahiyyətli “author” roluna malik hesab, müəllifin bloq yazılarından birini yeniləmiş “editor” və ya “super admin” üçün bu təfərrüatları JSON cavabında görə bilər. Həmçinin, birbaşa və ya dolayı əlaqə vasitəsilə digər istifadəçilərə aid belə detalların JSON cavabında sızdığı bir çox digər ssenarilər mövcuddur. Bu məlumatlara giriş, şifrə sıfırlama prosesini uğurla başladaraq istifadəçiyə digər istifadəçilərin hesablarını ələ keçirmək imkanı verir. Ən pis ssenaridə, aşağı səlahiyyətli istifadəçi Strapi instansiyası üzərində tam nəzarətə malik olan “super admin” hesabına giriş əldə edə bilər və hər hansı məlumatı oxuyub dəyişdirə, habelə bütün digər istifadəçilərin imtiyazlarını ləğv etməklə həm admin panelinə, həm də API-a girişi bloklaya bilər.
Necə düzəltmək olar
- strapi strapi3.6.10 və ya daha yeni versiya
- strapi3.6.9 və ya daha yeni versiya
- @strapi/strapi4.0.0-beta.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| strapi strapi | 3.0.0 ≤ v < 3.6.10, 4.0.0 | 3.6.10 |
| strapinpm | 3.0.0 ≤ v < 3.6.9 | 3.6.9 |
| @strapi/strapinpm | v < 4.0.0-beta.15 | 4.0.0-beta.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.