Improper Removal of Sensitive Information Before Storage or Transfer in Strapi
An authenticated user with access to the Strapi admin panel can view private and sensitive data, such as email and password reset tokens, for API users if content types accessible to the authenticated user contain relationships to API users (from:users-permissions). There are many scenarios in which such details from API users can leak in the JSON response within the admin panel, either through a direct or indirect relationship. Access to this information enables a user to compromise these users’ accounts if the password reset API endpoints have been enabled. In a worst-case scenario, a low-privileged user could get access to a high-privileged API account, and could read and modify any data as well as block access to both the admin panel and API by revoking privileges for all other users.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | strapi | >= 3.0.0, < 3.6.9 | 3.6.9 |
| Paquete de npm | @strapi/strapi | < 4.1.9 | 4.1.9 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-212- Plataforma
- npm
- Paquete
strapi, @strapi/strapi- Publicada
- 20.05.2022
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-vgj7-895j-gpr6 - CC BY 4.0
Historial de vulnerabilidades: strapi
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 12
- Primera → última
- 12.2019 09.2022
- Sin corrección
- 3
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 3
- Alta 6
- Media 3
Divulgaciones por año
- 2019: 1
- 2020: 1
- 2021: 2
- 2022: 8
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
Improper Removal of Sensitive Information Before Storage or Transfer in Strapi esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.