Résumé
généré automatiquement à partir des données NVDStrapi jusqu'à la version 4.5.5 est affecté par une injection de modèle côté serveur (SSTI) authentifiée. Un attaquant distant ayant accès au panneau d'administration peut insérer dans un modèle d'e-mail une charge contournant les contrôles de validation, ce qui permet d'exécuter du code arbitraire sur le serveur. La faille (CWE-74) est notée 7,2 (HIGH, CVSS v3.1).
Description NVD (anglais)
Strapi through 4.5.5 allows authenticated Server-Side Template Injection (SSTI) that can be exploited to execute arbitrary code on the server. A remote attacker with access to the Strapi admin panel can inject a crafted payload that executes code on the server into an email template that bypasses the validation checks that should prevent code execution.
EPSS · FIRST.org
70,6 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 99 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 19 avr. 2023
- Mis à jour
- 17 juin 2026
- Statut
- Modified
- Source
- cve@mitre.org
Produits affectés
Faiblesses (CWE)
Références (6)
- https://github.com/strapi/strapi/releasesRelease Notes
- https://www.ghostccamm.com/blog/multi_strapi_vulns/ExploitThird Party Advisory
- https://github.com/strapi/strapi/releasesRelease Notes
- https://www.ghostccamm.com/blog/multi_strapi_vulns/ExploitThird Party Advisory
CVEs similaires
Autres vulnérabilités de type CWE-74
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.