CVE-2026-22599

概要

Strapiはオープンソースのヘッドレスコンテンツ管理システムです。4.xブランチの4.26.1より前のバージョン、および5.xブランチの5.33.2より前のバージョンにおいて、Strapi Content-Type Builder書き込みAPIにデータベースクエリインジェクションの脆弱性が存在しました。認証済みの管理者は、コンテンツタイプの作成または変更時に`column.defaultTo`属性を通じて任意のデータベースステートメントを注入できました。`defaultTo`をタプル`[value, { isRaw: true }]`として設定すると、スキーママイグレーション中に値がサニタイズされずにKnexの`db.connection.raw()`へ直接渡され、データベース層で任意のステートメントを実行できる状態となっていました。データベースエンジンによっては、これによりデータベースのユーティリティ関数を介した任意のファイル読み取り、スキーママイグレーションエラー時の強制的なサーバークラッシュによるサービス拒否、さらに外部プログラムの実行が許可されているエンジンではデータベースサーバーに対するリモートコード実行が可能でした。バージョン4.26.1および5.33.2のパッチでは、すべてのContent-Type Builder書き込みAPIを開発モードのみに制限することでこの問題に対処しています。v5.33.2以降を実行する本番環境では、`/content-type-builder/content-types`および関連エンドポイントへのリクエストに対して404を返すようになり、ネットワークから到達可能な攻撃対象領域が完全に除去されています。

ソース

• CVE-2026-22599PoC

  StrapiのContent-Type Builder書き込みAPIにおけるKnex raw defaultToを介した認証済みSQLインジェクションであるCVE-2026-22599のPython PoCおよびDockerラボ。