一、 漏洞 CVE-2025-53092 基础信息
漏洞信息
                                        # Strapi 核心 CORS 数据泄露漏洞

## 概述

Strapi 是一个开源的无头内容管理系统。在版本 5.20.0 之前，其默认安装中存在一个 CORS 配置错误漏洞。

## 影响版本

Strapi 版本低于 5.20.0 的默认安装环境。

## 细节

默认情况下，Strapi 将请求中 `Origin` 头的值直接反射到 `Access-Control-Allow-Origin` 响应头中，而没有进行适当的校验或白名单限制。这导致攻击者可以控制来源站点，向 Strapi 后端发送带有凭证的跨域请求。

## 影响

攻击者可通过托管恶意网站（例如不同源或端口）向 Strapi API 发送请求，并可能以用户身份执行敏感操作，造成跨站请求伪造（CSRF）等安全问题。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Strapi core vulnerable to sensitive data exposure via CORS misconfiguration
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Strapi is an open source headless content management system. Strapi versions prior to 5.20.0 contain a CORS misconfiguration vulnerability in default installations. By default, Strapi reflects the value of the Origin header back in the Access-Control-Allow-Origin response header without proper validation or whitelisting. This allows an attacker-controlled site to send credentialed requests to the Strapi backend. An attacker can exploit this by hosting a malicious site on a different origin (e.g., different port) and sending requests with credentials to the Strapi API. The vulnerability is fixed in version 5.20.0. No known workarounds exist.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
信息暴露
来源：美国国家漏洞数据库 NVD
漏洞标题
Strapi 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Strapi是法国strapi社区的一套开源的内容管理系统（CMS）。 Strapi 5.20.0之前版本存在安全漏洞，该漏洞源于默认安装中存在CORS配置错误，可能导致跨资源共享攻击。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-53092 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-53092 的情报信息
四、漏洞 CVE-2025-53092 的评论

暂无评论

发表评论