CVE-2026-27886 Strapi PoC

केवल अधिकृत सुरक्षा परीक्षण के लिए।

क्वेरी स्वच्छता की कमी के कारण संबंधपरक फ़िल्टरिंग द्वारा Strapi द्वारा संवेदनशील डेटा का रिसाव.

इसमें शामिल हैं:

• CVE-2026-27886.py - पायथन PoC
• CVE-2026-27886.yaml - पहचान के लिए Nuclei टेम्पलेट

यह क्या जाँचता है

जाँचकर्ता एक सार्वजनिक Strapi Content API कलेक्शन एंडपॉइंट पर दो अनुरोध भेजता है:

GET /api/<collection>
GET /api/<collection>?where[id][$lt]=-1

यदि आधार रेखा प्रतिक्रिया में रिकॉर्ड हैं और गलत where विधेय परिणाम सेट को शून्य कर देता है, तो एंडपॉइंट संभवतः कमजोर है।

उपयोग

पायथन

सुरक्षित जाँच:

python3 CVE-2026-27886.py http://strapi/api/articles

फ़ील्ड गणना:

python3 CVE-2026-27886.py http://strapi/api/articles --enum-fields

Nuclei

nuclei -t CVE-2026-27886.yaml -u http://strapi/api/articles