CVE-2022-30618

Severity Score

7.5

*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

*Multiple Sources

Exploited in Wild

*KEV

Decision

*SSVC

Descriptions

An authenticated user with access to the Strapi admin panel can view private and sensitive data, such as email and password reset tokens, for API users if content types accessible to the authenticated user contain relationships to API users (from:users-permissions). There are many scenarios in which such details from API users can leak in the JSON response within the admin panel, either through a direct or indirect relationship. Access to this information enables a user to compromise these users’ accounts if the password reset API endpoints have been enabled. In a worst-case scenario, a low-privileged user could get access to a high-privileged API account, and could read and modify any data as well as block access to both the admin panel and API by revoking privileges for all other users.

Un usuario autenticado con acceso al panel de administración de Strapi puede visualizar datos privados y confidenciales, como el correo electrónico y los tokens de restablecimiento de contraseña, para los usuarios de la API si los tipos de contenido accesibles para el usuario autenticado contienen relaciones con los usuarios de la API (from:users-permissions). Se presentan muchos escenarios en los que estos detalles de los usuarios de la API pueden filtrarse en la respuesta JSON dentro del panel de administración, ya sea mediante una relación directa o indirecta. El acceso a esta información permite a un usuario comprometer las cuentas de estos usuarios si los endpoints de la API de restablecimiento de contraseña han sido habilitados. En el peor de los casos, un usuario con pocos privilegios podría acceder a una cuenta de la API con altos privilegios, y podría leer y modificar cualquier dato, así como bloquear el acceso tanto al panel de administración como a la API al revocar los privilegios de todos los demás usuarios

*Credits: N/A

Attack Vector

Network

Attack Complexity

High

Privileges Required

Low

User Interaction

None

Scope

Unchanged

Confidentiality

High

Integrity

High

Availability

High

Attack Vector

Network

Attack Complexity

Medium

Authentication

Single

Confidentiality

Partial

Integrity

Partial

Availability

Partial

* Common Vulnerability Scoring System

SSVC

Decision:-

Exploitation

Automatable

Tech. Impact

* Organization's Worst-case Scenario

Timeline

2022-05-12 CVE Reserved
2022-05-19 CVE Published
2023-12-10 EPSS Updated
2024-08-03 CVE Updated
---------- Exploited in Wild
---------- KEV Due Date
---------- First Exploit

CWE

CWE-212: Improper Removal of Sensitive Information Before Storage or Transfer

CAPEC

References (1)

URL	Tag	Source
https://www.synopsys.com/blogs/software-security/cyrc-advisory-strapi	Third Party Advisory

URL	Date	SRC

URL	Date	SRC

URL	Date	SRC

Affected Vendors, Products, and Versions

Vendor		Product				Version		Other		Status
Vendor	Product	Version	Other	Status	<-- -->	Vendor	Product	Version	Other	Status
Strapi Search vendor "Strapi"		Strapi Search vendor "Strapi" for product "Strapi"				>= 3.0.0 < 3.6.10 Search vendor "Strapi" for product "Strapi" and version " >= 3.0.0 < 3.6.10"		-		Affected
Strapi Search vendor "Strapi"		Strapi Search vendor "Strapi" for product "Strapi"				>= 4.0.0 < 4.1.10 Search vendor "Strapi" for product "Strapi" and version " >= 4.0.0 < 4.1.10"		-		Affected