Strapi <4.5.6 远程代码执行漏洞
漏洞描述 Strapi是Node.js开发的开源内容管理系统,Users-Permission 插件的电子邮件模板系统用于管理与用户权限相关的电子邮件通知(默认启用)。 Strapi 4.5.6之前版本中,Users-Permission 插件的电子邮件模板系统存在 SSTI(服务器端模板注入)漏洞,有权访问 Strapi 管理面板的攻击者可在电子邮件模板分隔符(例如 <%STUFF HERE%>)中插入恶意 JavaScript 代码,当 API 账户注册时,系统会加载电子邮件模板发送电子邮件,同时将执行攻击者可控的恶意代码。 此漏洞与 CVE-2023-22894 结合使用可通过劫持管理员帐户,在所有 Strapi <4.5.6 服务器上实现未经身份验证的远程代码执行。 漏洞名称 Strapi <4.5.6 远程代码执行漏洞 漏洞类型 代码注入 发现时间 2023-04-20 漏洞影响广度 广 MPS编号 MPS-2023-0231 CVE编号 CVE-2023-22621 CNVD编号 - 影响范围 Strapi@(-∞, 4.5.6) 修复方案 将组件 ...
