- Aktif istismar
- CWE-312
CVE-2023-22894
Strapi'de hassas bilgilerin açık metin olarak saklanmasından kaynaklanan güvenlik açığı
- Yayımlandı
- Güncellendi
- 9 Eki 2026
- Açık yaşı
- 1288 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Strapi 4.5.5 sürümüne kadar olan sürümler, yönetici paneline erişimi olan saldırganların sorgu filtresini istismar ederek hassas kullanıcı bilgilerini öğrenmesine izin veriyor. Saldırgan, hassas bilgi içeren sütunlara göre kullanıcıları filtreleyebiliyor ve API yanıtlarından bir değeri çıkarsayabiliyor. Saldırganın süper yönetici erişimi varsa, bu açık tüm kullanıcıların parola özetini ve parola sıfırlama belirtecini ele geçirmek için kullanılabilir. Saldırganın, daha düşük yetkili bir rolün (ör. Editor veya Author) API kullanıcılarının kullanıcı adı ve e-posta bilgilerine erişim izni olan bir hesaba yönetici paneli erişimi varsa, bu açık tüm API kullanıcılarına ait hassas bilgilerin ele geçirilmesi için kullanılabilir; ancak diğer yönetici hesapları bundan etkilenmez.
Kaynaktaki açıklama (İngilizce)
Strapi through 4.5.5 allows attackers (with access to the admin panel) to discover sensitive user details by exploiting the query filter. The attacker can filter users by columns that contain sensitive information and infer a value from API responses. If the attacker has super admin access, then this can be exploited to discover the password hash and password reset token of all users. If the attacker has admin panel access to an account with permission to access the username and email of API users with a lower privileged role (e.g., Editor or Author), then this can be exploited to discover sensitive information for all API users but not other admin accounts.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Strapi | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.