CVE-2026-22599

ملخص

Strapi هو نظام إدارة محتوى مفتوح المصدر بلا واجهة عرض. في الإصدارات على الفرع 4.x قبل 4.26.1 وعلى الفرع 5.x قبل 5.33.2، وُجدت ثغرة حقن استعلامات قاعدة البيانات في واجهة الكتابة الخاصة بـ Strapi Content-Type Builder. كان بإمكان مسؤول مُصادَق عليه حقن عبارات قاعدة بيانات عشوائية عبر السمة `column.defaultTo` عند إنشاء نوع محتوى أو تعديله. أدى تعيين `defaultTo` كمجموعة `[value, { isRaw: true }]` إلى تمرير القيمة مباشرةً إلى `db.connection.raw()` الخاصة بـ Knex أثناء ترحيل المخطط دون تعقيم، مما سمح بتنفيذ عبارات عشوائية على مستوى قاعدة البيانات. اعتمادًا على محرك قاعدة البيانات، مكّن ذلك من قراءة ملفات عشوائية عبر دوال أدوات قاعدة البيانات، وهجمات حجب الخدمة عبر إجبار الخادم على الانهيار عند خطأ في ترحيل المخطط، وعلى المحركات التي تسمح بتنفيذ برامج خارجية، تنفيذ تعليمات برمجية عن بُعد ضد خادم قاعدة البيانات. تعالج الترقعة في الإصدارين 4.26.1 و5.33.2 هذا الأمر بقصر جميع واجهات الكتابة الخاصة بـ Content-Type Builder على وضع التطوير فقط. عمليات النشر الإنتاجية التي تعمل بالإصدار v5.33.2 أو أحدث تُرجع 404 للطلبات الموجهة إلى `/content-type-builder/content-types` والنقاط الطرفية ذات الصلة، مما يزيل سطح الهجوم القابل للوصول عبر الشبكة بالكامل.

المصادر

• CVE-2026-22599PoC

  Python PoC ومختبر Docker لـ CVE-2026-22599، وهو حقن SQL موثّق في واجهة برمجة التطبيقات للكتابة الخاصة بـ Content-Type Builder في Strapi عبر Knex raw defaultTo.