阿里云漏洞库

中危 Strapi 信息泄露漏洞(CVE-2023-34093)

CVE编号

CVE-2023-34093

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-07-25

漏洞描述

Strapi是一款开源的无头内容管理系统。在版本4.10.8之前，任何人（包括Strapi开发人员、用户和插件）都可以公开某个Content-Type的每个属性，而不需要知道其存在。漏洞仅影响Strapi处理内容类型的方式，而不是内容类型本身。用户可以使用插件或修改自己的内容类型，而不知道 `privateAttributes` getter已被删除，这可能导致任何属性变为公开。这可能会导致敏感信息被暴露或攻击者完全控制系统（拥有密码哈希）。任何人都可能会受到影响，取决于人们如何使用/扩展内容类型。如果用户正在修改内容类型，则不会受到影响。版本4.10.8包含了此问题的补丁。

解决建议

"将组件 @strapi/database 升级至 4.10.8 及以上版本"
"将组件 @strapi/strapi 升级至 4.10.8 及以上版本"
"将组件 @strapi/utils 升级至 4.10.8 及以上版本"

参考链接
https://github.com/strapi/strapi/commit/2fa8f30371bfd1db44c15e5747860ee5789096de
https://github.com/strapi/strapi/releases/tag/v4.10.8
https://github.com/strapi/strapi/security/advisories/GHSA-chmr-rg2f-9jmf

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	strapi	strapi	*		Up to (excluding) 4.10.8

攻击路径

本地
攻击复杂度

复杂
权限要求

普通权限
影响范围

越权影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-200	信息暴露

中危 Strapi 信息泄露漏洞(CVE-2023-34093)

漏洞描述

解决建议

参考链接

受影响软件情况