p PatchFirst

CVE-2024-56143

CVE-2024-56143 · Strapi Allows Unauthorized Access to Private Fields via parms.lookup

CVSS 8.2 · Высокий · EPSS 0,4% · Есть исправление

Затронуты ли вы?

  • strapiНет опубликованного исправления
  • @strapi/core npmОбновитесь до 5.5.2

Как узнать установленную версию:

npm ls @strapi/core

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания strapi и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Strapi is an open-source headless content management system. In versions from 5.0.0 to before 5.5.2, the lookup operator provided by the document service does not properly sanitize query parameters for private fields. An attacker can access private fields, including admin passwords and reset tokens, by crafting queries with the lookup parameter. This vulnerability is fixed in 5.5.2.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • strapi

    Версии
    • >= 5.0.0, < 5.5.2: Затронуто

    Нет опубликованного исправления

  • @strapi/core npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 5.0.0, < 5.5.2

    Обновитесь до 5.5.2

Первоисточники

Проверьте свой сервер →