【漏洞预警】Strapi 未授权访问漏洞(CVE-2023-39345)

漏洞详情:
用户注册API中私有字段的未授权访问。在用户内容类型中将一些字段标记为私有字段，并尝试通过api注册为新用户，同时添加了内容来填充私有字段并发送了post请求，正如从图像中看到的下面，可以写入私有字段。

厂商：
Strapi

影响版本：

4.0.0 <= strapi < 4.13.1

相关链接:
https://github.com/strapi/strapi/security/advisories/GHSA-gc7p-j5xm-xxh2
https://github.com/strapi/strapi
https://strapi.io/blog/security-disclosure-of-vulnerabilities-sept-2023

其他修复方法:
目前官方已有可更新版本，建议受影响用户升级至最新版本：
strapi >= 4.13.1
官方补丁下载地址：
https://github.com/strapi/strapi/releases/tag/v4.13.1

缓解方案:
暂无

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Strapi 未授权访问漏洞(CVE-2023-39345)