CVE-2026-27886

요약

Strapi는 오픈 소스 헤드리스 콘텐츠 관리 시스템입니다. 4.0.0부터 5.37.0 이전 버전의 Strapi는 관계형 필드를 통해 콘텐츠를 필터링할 때 쿼리 매개변수를 충분히 정화하지 않았습니다. 인증되지 않은 공격자는 `updatedBy`(또는 기타 관리자 관계) 필드가 있는 공개적으로 접근 가능한 콘텐츠 유형에서 `where` 쿼리 매개변수를 사용하여 조인된 `admin_users` 테이블의 비공개 필드(`resetPasswordToken` 필드 포함)에 대해 부울 오라클(boolean-oracle) 공격을 수행할 수 있었습니다. 이 오라클을 통해 관리자 재설정 토큰을 추출하면 인증 없이도 완전한 관리자 계정 탈취가 가능해졌습니다. `where[updatedBy][resetPasswordToken][$startsWith]=a`와 같은 필터가 공개 Content API 엔드포인트에 적용되면 내부 쿼리 생성이 `admin_users` 테이블에 대해 `LEFT JOIN`을 수행하고 조인된 열을 참조하는 `WHERE` 절을 생성했습니다. 쿼리 매개변수 정화 계층은 호출자에게 읽기 권한이 없는 관계형 대상 스키마로 침투하는 연산자 체인을 차단하지 못했으며, 이로 인해 응답 개수를 모든 관리자 테이블 필드에 대한 1비트 오라클로 사용할 수 있었습니다. 5.37.0 버전의 패치는 컨트롤러 및 서비스 경계에서 `strictParam`, `addQueryParams`, `addBodyParams`라는 세 가지 새로운 프리미티브를 통해 명시적인 쿼리 매개변수 정화를 도입합니다. 제한된 관계형 대상으로 침투하는 연산자 체인은 이제 데이터베이스에 도달하기 전에 거부됩니다.

• CVE-2026-27886-check스캐너

  Strapi 인스턴스가 CVE-2026-27886 (인증되지 않은 부울 오라클을 통한 관리자 비밀 정보 유출)에 취약한지 탐지합니다.

• CVE-2026-27886PoC

  Strapi CVE-2026-27886. 쿼리 샌드타이징 부재로 인한 관계형 필터링을 통한 민감한 데이터 유출.

• CVE-2026-27886-PoC-Account-Takeover