CVE-2026-22599

요약

Strapi는 오픈 소스 헤드리스 콘텐츠 관리 시스템입니다. 4.26.1 이전의 4.x 브랜치 버전과 5.33.2 이전의 5.x 브랜치 버전에서 Strapi Content-Type Builder 쓰기 API에 데이터베이스 쿼리 주입 취약점이 존재했습니다. 인증된 관리자는 콘텐츠 타입을 생성하거나 수정할 때 `column.defaultTo` 속성을 통해 임의의 데이터베이스 문을 주입할 수 있었습니다. `defaultTo`를 튜플 `[value, { isRaw: true }]`로 설정하면 스키마 마이그레이션 중 해당 값이 정제 없이 Knex의 `db.connection.raw()`에 직접 전달되어, 데이터베이스 계층에서 임의의 문을 실행할 수 있었습니다. 데이터베이스 엔진에 따라 이는 데이터베이스 유틸리티 함수를 통한 임의 파일 읽기, 스키마 마이그레이션 오류 시 강제 서버 충돌을 통한 서비스 거부, 그리고 외부 프로그램 실행을 허용하는 엔진에서는 데이터베이스 서버에 대한 원격 코드 실행을 가능하게 했습니다. 버전 4.26.1과 5.33.2의 패치는 모든 Content-Type Builder 쓰기 API를 개발 모드로만 제한하여 이 문제를 해결합니다. v5.33.2 이상을 실행하는 프로덕션 배포에서는 `/content-type-builder/content-types` 및 관련 엔드포인트에 대한 요청에 404를 반환하여, 네트워크에서 도달 가능한 공격 표면을 완전히 제거합니다.

소스

• CVE-2026-22599PoC

  Strapi의 Content-Type Builder 쓰기 API에서 Knex raw defaultTo를 통한 인증된 SQL 인젝션인 CVE-2026-22599에 대한 Python PoC 및 Docker 실습 환경입니다.