CVE-2022-30618
Açıklama
Strapi yönetici paneline erişimi olan kimliği doğrulanmış bir kullanıcı, eğer kimliği doğrulanmış kullanıcının erişebildiği içerik türleri API kullanıcılarıyla (from:users-permissions) ilişkilere sahipse; e-posta ve şifre sıfırlama belirteçleri gibi API kullanıcılarına ait özel ve hassas verileri görüntüleyebilir. Doğrudan veya dolaylı bir ilişki aracılığıyla, API kullanıcılarına ait bu tür ayrıntıların yönetici panelindeki JSON yanıtında sızabileceği birçok senaryo bulunmaktadır. Bu bilgilere erişim, şifre sıfırlama API uç noktaları etkinleştirilmişse, bir kullanıcının bu kullanıcı hesaplarını ele geçirmesine olanak tanır. En kötü durum senaryosunda, düşük yetkili bir kullanıcı yüksek yetkili bir API hesabına erişim sağlayabilir ve tüm verileri okuyup değiştirebileceği gibi diğer tüm kullanıcıların yetkilerini geri alarak hem yönetici paneline hem de API'ye erişimi engelleyebilir.
Nasıl düzeltilir
- strapi strapi3.6.10, 4.1.10 ya da sonraki bir sürüm
- strapi3.6.9 ya da sonraki bir sürüm
- @strapi/strapi4.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| strapi strapi | 3.0.0 ≤ v < 3.6.10, 4.0.0 ≤ v < 4.1.10 | 3.6.10, 4.1.10 |
| strapinpm | 3.0.0 ≤ v < 3.6.9 | 3.6.9 |
| @strapi/strapinpm | v < 4.1.9 | 4.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.