CVE-2026-22707

Strapi açıq mənbəli headless kontent idarəetmə sistemidir. Strapi-nin 5.33.3 versiyasından əvvəlki versiyalarında, Upload plagininin Content API son nöqtələri administrator tərəfindən konfiqurasiya edilmiş MIME növü məhdudiyyətlərini (`plugin.upload.security.allowedTypes` və `deniedTypes`) tətbiq etmirdi. Eyni məhdudiyyətlər Admin Panel yükləmə yolu üçün düzgün şəkildə tətbiq olunurdu. Yükləmə plagininin `enforceUploadSecurity` təhlükəsizlik yoxlaması admin yükləmə kontrollerində çağırılırdı, lakin Content API kontrollerində mövcud deyildi. Content API handler-ləri olan `uploadFiles` və `replaceFile` (və onlara yönləndirmə edən `upload` wrapper-i) altda yatan yükləmə xidmətini birbaşa çağırırdı ki, bu da həm magic-byte MIME aşkarlanmasını, həm də konfiqurasiya edilmiş icazə verilmiş/qadağan edilmiş siyahıları yan keçirdi. Buna görə də, Content API yükləmə icazəsi olan autentifikasiya olunmuş istifadəçi, administratorun açıq şəkildə qadağan etdiyi fayl növlərini, o cümlədən HTML və SVG kontentini yükləyə bilərdi. Yüklənmiş faylların admin paneli ilə eyni mənşədən (origin) təqdim olunduğu deployment-lərdə hücumçu elə bir HTML və ya SVG faylı yükləyə bilərdi ki, həmin fayl admin tərəfindən birbaşa açıldıqda admin mənşəyində JavaScript kodu icra edərək admin sessiyasının ələ keçirilməsinə və admin API-na qarşı autentifikasiya olunmuş inzibati əməliyyatların yerinə yetirilməsinə şərait yaradardı. 5.33.3 versiyasındakı yamla `enforceUploadSecurity` funksiyasını əhatə edən ortaq `prepareUploadRequest` köməkçisi təqdim edilmişdir və bu funksiya həm Content API, həm də admin yükləmə kontrollerindən çağırılaraq hər bir yükləmə giriş nöqtəsində eyni təhlükəsizlik siyasətinin tətbiqi təmin edilmişdir.