CVE-2023-22894

Strapi 4.5.5 trở xuống cho phép người tấn công (có quyền truy cập vào bảng điều khiển quản trị) phát hiện thông tin cá nhân nhạy cảm của người dùng bằng cách khai thác bộ lọc query. Người tấn công có thể lọc người dùng theo các cột chứa thông tin nhạy cảm và suy luận một giá trị từ phản hồi API. Nếu người tấn công có quyền truy cập quản trị viên siêu, thì điều này có thể được khai thác để phát hiện mật khẩu hash và token khôi phục mật khẩu của tất cả người dùng. Nếu người tấn công có quyền truy cập bảng điều khiển quản trị và có quyền truy cập vào tên và email của người dùng API với vai trò quyền hạn thấp hơn (ví dụ: Biên tập viên hoặc Tác giả), thì điều này có thể được khai thác để phát hiện thông tin nhạy cảm cho tất cả người dùng API nhưng không phải cho các tài khoản quản trị viên khác.

Bạn tra cứu quá nhanh — thử lại sau 49 giây.

CVSS (NVD)

4.9 · MEDIUM

Loại lỗi (CWE)

CWE-312

EPSS (FIRST)

4.11% khả năng bị khai thác trong 30 ngày

CISA KEV

Strapi Strapi — Rủi ro lưu trữ rõ ràng thông tin nhạy cảm của Strapi. Đưa vào 2026-10-08, hạn khắc phục 2026-10-11. Áp dụng các biện pháp khắc phục theo hướng dẫn của nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và hướng dẫn về yêu cầu điều tra pháp y của CISA (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không sẵn có. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn về cập nhật vá của BOD 26-04.