CVE-2023-22894 in Strapi
Tóm tắt
Bởi VulDB • 05/06/2026
Strapi qua phiên bản 4.5.5 cho phép các kẻ tấn công (có quyền truy cập vào bảng điều khiển quản trị) khai thác bộ lọc truy vấn để khám phá thông tin chi tiết nhạy cảm của người dùng. Kẻ tấn công có thể lọc người dùng theo các cột chứa thông tin nhạy cảm và suy luận giá trị từ phản hồi API. Nếu kẻ tấn công có quyền super admin, thì lỗ hổng này có thể bị lợi dụng để tìm thấy mã băm mật khẩu (password hash) và token đặt lại mật khẩu của tất cả người dùng. Nếu kẻ tấn công có quyền truy cập vào bảng điều khiển quản trị cho một tài khoản có quyền truy cập tên đăng nhập và email của các API user với vai trò ít đặc quyền hơn (ví dụ: Editor hoặc Author), thì lỗ hổng này có thể bị lợi dụng để khám phá thông tin nhạy cảm cho tất cả người dùng API nhưng không phải là các tài khoản admin khác.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.