CVE-2023-22893 in Strapi

Tóm tắt

Bởi VulDB • 12/06/2026

Strapi đến phiên bản 4.5.5 không xác minh các token truy cập (access tokens) hoặc token định danh (ID tokens) được cấp trong quy trình OAuth khi nhà cung cấp đăng nhập AWS Cognito được sử dụng cho xác thực. Một kẻ tấn công từ xa có thể giả mạo một token định danh được ký bằng thuật toán loại 'None' để vượt qua xác thực và mạo danh bất kỳ người dùng nào sử dụng AWS Cognito cho xác thực.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Đặt trước: 10/01/2023
• Tiết lộ: 19/04/2023
• Kiểm duyệt: được chấp nhận
• mục: VDB-226832
• CPE: sẵn sàng
• CWE: CWE-287 (Đã xác nhận)
• CVSS: 7.5 (NVD)
• EPSS: 0.04158
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-22893
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-22893
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-22893/