CVE-2023-22894 in Strapi
要約
〜によって VulDB • 2026年06月05日
Strapi 4.5.5以前では、管理者パネルへのアクセス権を持つ攻撃者がクエリフィルタを悪用することで機密性の高いユーザー情報を発見できる。攻撃者は機密情報を含む列でユーザーをフィルタリングし、APIのレスポンスから値を推測することができる。もし攻撃者がスーパーアドミン（最高管理者）にアクセスできれば、すべてのユーザーのパスワードハッシュとパスワードリセットトークンを発見するためにこれを悪用することが可能である。また、攻撃者が「エディター」や「オーサー」といった低権限ロールを持つAPIユーザーのユーザー名およびメールアドレスへのアクセス許可を有するアカウントに対して管理者パネルへアクセスできる場合、この脆弱性を悪用してすべてのAPIユーザーに関する機密情報を発見することができるが、他のアドミンアカウントについては対象外となる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.