漏洞信息
# N/A
## 漏洞概述
Strapi 4.5.5及以下版本允许攻击者（具有访问管理面板权限的用户）通过利用查询过滤器发现敏感用户详细信息。
## 影响版本
- Strapi 4.5.5及以下版本
## 细节
攻击者可以按包含敏感信息的列过滤用户，并从API响应中推断出值。如果攻击者具有超级管理员权限，可以通过此漏洞发现所有用户的密码哈希和密码重置令牌。如果攻击者具有管理面板访问权限，并且可以访问较低权限角色（例如编辑或作者）的API用户的用户名和电子邮件，则可以通过此漏洞发现所有API用户的敏感信息，但不能发现其他管理员账户的信息。
## 影响
- 可以通过查询过滤器发现敏感用户信息。
- 超级管理员权限下可以发现所有用户的密码哈希和密码重置令牌。
- 具有较低权限角色的访问可以发现所有API用户的敏感信息。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
漏洞描述信息
Strapi through 4.5.5 allows attackers (with access to the admin panel) to discover sensitive user details by exploiting the query filter. The attacker can filter users by columns that contain sensitive information and infer a value from API responses. If the attacker has super admin access, then this can be exploited to discover the password hash and password reset token of all users. If the attacker has admin panel access to an account with permission to access the username and email of API users with a lower privileged role (e.g., Editor or Author), then this can be exploited to discover sensitive information for all API users but not other admin accounts.
CVSS信息
N/A
漏洞类别
N/A
漏洞标题
Strapi 安全漏洞
漏洞描述信息
Strapi是一套开源的内容管理系统（CMS）。 Strapi 4.5.5之前版本存在安全漏洞，该漏洞源于允许攻击者通过利用查询过滤器来发现敏感的用户详细信息，攻击者利用该漏洞可以发现所有用户的密码哈希和密码重置令牌，或者发现所有 API 用户的敏感信息。
CVSS信息
N/A
漏洞类别
其他