CVE-2022-30617
Açıklama
Strapi yönetici paneline erişimi olan kimliği doğrulanmış bir kullanıcı; kendisinin erişebildiği içeriklerle ilişkisi (örneğin, oluşturan, güncelleyen) bulunan diğer yönetici paneli kullanıcılarına ait e-posta ve şifre sıfırlama belirteçleri gibi özel ve hassas verileri görüntüleyebilir. Örneğin, düşük yetkili bir “author” rolündeki hesap, kendi blog yazılarından birini güncellemiş olan bir “editor” veya “super admin” için bu ayrıntıları JSON yanıtında görebilir. Ayrıca, doğrudan veya dolaylı bir ilişki aracılığıyla diğer kullanıcılara ait bu tür ayrıntıların JSON yanıtında sızabileceği birçok başka senaryo da mevcuttur. Bu bilgilere erişim, bir kullanıcının şifre sıfırlama iş akışını başarıyla tetikleyerek diğer kullanıcıların hesaplarını ele geçirmesine olanak tanır. En kötü durum senaryosunda, düşük yetkili bir kullanıcı, Strapi örneği üzerinde tam kontrole sahip bir “super admin” hesabına erişim sağlayabilir ve tüm verileri okuyup değiştirebileceği gibi, diğer tüm kullanıcıların yetkilerini geri alarak hem yönetici paneline hem de API'ye erişimi engelleyebilir.
Nasıl düzeltilir
- strapi strapi3.6.10 ya da sonraki bir sürüm
- strapi3.6.9 ya da sonraki bir sürüm
- @strapi/strapi4.0.0-beta.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| strapi strapi | 3.0.0 ≤ v < 3.6.10, 4.0.0 | 3.6.10 |
| strapinpm | 3.0.0 ≤ v < 3.6.9 | 3.6.9 |
| @strapi/strapinpm | v < 4.0.0-beta.15 | 4.0.0-beta.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.