CVE-2023-34093
Açıklama
Strapi, açık kaynaklı bir headless içerik yönetim sistemidir. 4.10.8 sürümünden önce, herkes (Strapi geliştiricileri, kullanıcılar, eklentiler) bir Content-Type'ın her özniteliğini farkında olmadan genel (public) hale getirebilir. Bu güvenlik açığı yalnızca Strapi'nin içerik türlerini işlemesini etkiler, içerik türlerinin kendisini etkilemez. Kullanıcılar, `privateAttributes` getter'ının kaldırıldığını fark etmeden eklentileri kullanabilir veya kendi içerik türlerini değiştirebilir; bu da herhangi bir özniteliğin genel hale gelmesine yol açabilir. Bu durum hassas bilgilerin açığa çıkmasına veya tüm sistemin bir saldırgan tarafından ele geçirilmesine (parola hash'lerine erişim) neden olabilir. İçerik türlerini nasıl kullandıklarına/ genişlettiklerine bağlı olarak herkes etkilenebilir. Kullanıcılar içerik türünü değiştiriyorsa etkilenmezler. 4.10.8 sürümü bu sorun için bir yama içerir.
Nasıl düzeltilir
- strapi strapi4.10.8 ya da sonraki bir sürüm
- @strapi/strapi4.10.8 ya da sonraki bir sürüm
- @strapi/utils4.10.8 ya da sonraki bir sürüm
- @strapi/database4.10.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| strapi strapi | v < 4.10.8 | 4.10.8 |
| @strapi/strapinpm | v < 4.10.8 | 4.10.8 |
| @strapi/utilsnpm | v < 4.10.8 | 4.10.8 |
| @strapi/databasenpm | v < 4.10.8 | 4.10.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.