CVE-2023-36472
CVE-2023-36472 · Strapi may leak sensitive user information, user reset password, tokens via content-manager views
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Strapi is an open-source headless content management system. Prior to version 4.11.7, an unauthorized actor can get access to user reset password tokens if they have the configure view permissions. The `/content-manager/relations` route does not remove private fields or ensure that they can't be selected. This issue is fixed in version 4.11.7.
CVSS 5.8 · Moyenne · EPSS 0,7% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
strapi
- Versions du logiciel
- < 4.11.7: Concernée
Aucun correctif publié
@strapi/plugin-content-manager npm
- Plages de versions concernées
- SEMVER: < 4.11.7
Mettez à jour vers 4.11.7
@strapi/admin npm
- Plages de versions concernées
- SEMVER: < 4.11.7
Mettez à jour vers 4.11.7
@strapi/utils npm
- Plages de versions concernées
- SEMVER: < 4.11.7
Mettez à jour vers 4.11.7