Strapi — это система управления контентом с открытым исходным кодом. Объединив две уязвимости («Открытый редирект» и «Токен сеанса, отправл…

Strapi — это система управления контентом с открытым исходным кодом. Объединив две уязвимости («Открытый редирект» и «Токен сеанса, отправленный в качестве параметра запроса URL») в @strapi/plugin-users-permissions до версии 4.24.2, можно обойти механизмы аутентификации неаутентифицированным злоумышленником и получить сторонние токены. Атака требует взаимодействия с пользователем (один щелчок). Неаутентифицированные злоумышленники могут использовать две уязвимости для получения стороннего токена и обхода аутентификации приложений Strapi. Пользователям следует обновить @strapi/plugin-users-permissions до версии 4.24.2, чтобы получить исправление.