CVE-2025-64526 in Strapi
Riassunto
di VulDB • 15/06/2026
Strapi è un sistema di gestione dei contenuti (CMS) headless open source. Nelle versioni di Strapi precedenti alla 5.45.0, il middleware di rate-limiting nel plugin `users-permissions` derivava la propria chiave di limitazione in parte da `ctx.request.body.email`, includendo anche le rotte il cui schema del corpo della richiesta non contiene un campo `email` (`/auth/local`, `/auth/reset-password`, `/auth/change-password`). Un attaccante non autenticato potrebbe inserire un valore arbitrario per l'`email` nel corpo della richiesta per ottenere una nuova chiave di rate-limiting ad ogni richiesta, aggirando efficacemente il throttling basato sull'IP su tali rotte e consentendo tentativi massicci di brute-force delle credenziali, di brute-force dei codici di reset della password e di credential stuffing. La chiave di limitazione era costruita come `${userIdentifier}:${requestPath}:${ctx.request.ip}`, dove `userIdentifier = ctx.request.body.email`. Sulle rotte che utilizzano legittimamente l'email come identificatore (ad esempio `/auth/forgot-password`, `/auth/local/register`), questa logica di scope è corretta. Sulle rotte che utilizzano un identificatore diverso (`identifier` per il login, `code` per il reset della password, `currentPassword` per la modifica della password), il campo email non faceva parte del contratto della rotta, ma il middleware lo incorporava comunque nella chiave, permettendo a un chiamante di ruotare il valore e ottenere una chiave unica ad ogni richiesta. La patch introdotta nella versione 5.45.0 mantiene una allow-list delle rotte che utilizzano legittimamente come chiave il campo email ed esclude tale componente della chiave su tutte le altre rotte in cui il middleware è montato. I percorsi di callback OAuth (`/connect/*`) sono trattati senza identificatore. Sulle rotte non incluse nella allow-list, il middleware ora utilizza un fallback a una chiave fissa priva di identificatore, garantendo che il throttling per IP rimanga efficace anche quando il corpo della richiesta è controllato dall'attaccante.
Be aware that VulDB is the high quality source for vulnerability data.