Tóm tắt nhanh
- CVE-2022-32114 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng strapi (strapi), @strapi/strapi.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.0%, cao hơn 80.5% các lỗ hổng khác.
- Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| strapi | = 4.1.12
| Chưa có bản vá |
| @strapi/strapi npm | ≤ 4.1.12
| Chưa có bản vá |
Mô tả
An unrestricted file upload vulnerability in the Add New Assets function of Strapi v4.1.12 allows attackers to execute arbitrary code via a crafted file. After an authenticated attacker uploads a file containing a malicious URL, a victim copies and pastes the malicious URL into a new tab to receive the XSS payload.
Mô tả của NVD
An unrestricted file upload vulnerability in the Add New Assets function of Strapi 4.1.12 allows attackers to conduct XSS attacks via a crafted PDF file. NOTE: the project documentation suggests that a user with the Media Library "Create (upload)" permission is supposed to be able to upload PDF files containing JavaScript, and that all files in a public assets folder are accessible to the outside world (unless the filename begins with a dot character). The administrator can choose to allow only image, video, and audio files (i.e., not PDF) if desired.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí