Strapi 多个高危漏洞安全风险通告

漏洞名称

Strapi 信息泄露漏洞

公开时间

2023-04-19

更新时间

2023-04-20

CVE编号

CVE-2023-22894

其他编号

QVD-2023-9622

威胁类型

代码执行

技术类型

数据验证不恰当

厂商

Strapi

产品

Strapi

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已发现

未发现

未发现

已公开

漏洞描述

Strapi存在信息泄露漏洞，当在可公开访问的条目上存在由超级管理员用户创建或更新的集合的条目时，该漏洞允许未经验证的攻击者获取敏感的用户详细信息，包括管理员和API用户。该漏洞可能被利用来劫持Strapi管理员的帐户，获取未经授权的Strapi超级管理员访问权限，并通过泄露密码重置标记和更改管理员密码来进一步攻击系统。

影响版本

Strapi >= 3.2.1

Strapi < 4.8.0

不受影响版本

Strapi >= 4.8.0

其他受影响组件

无

漏洞名称

Strapi 远程代码执行漏洞

CVE编号

CVE-2023-22621

其他编号

QVD-2023-9621

CVSS 3.1评级

高危

CVSS 3.1分数

9.1

CVSS向量

访问途径（AV）

攻击复杂度（AC）

网络

低

用户认证（Au）

用户交互（UI）

高权限

不需要

影响范围（S）

机密性影响（C）

改变

高

完整性影响（I）

可用性影响（A）

高

高

危害描述

能够绕过本应阻止代码执行的验证检查，从而在服务器上执行任意代码。