CVE-2026-22599

Resumo

Strapi é um sistema de gerenciamento de conteúdo headless de código aberto. Em versões do branch 4.x anteriores à 4.26.1 e do branch 5.x anteriores à 5.33.2, existia uma vulnerabilidade de injeção de consulta de banco de dados na API de escrita do Content-Type Builder do Strapi. Um administrador autenticado poderia injetar instruções arbitrárias de banco de dados através do atributo `column.defaultTo` ao criar ou modificar um content type. Definir `defaultTo` como uma tupla `[value, { isRaw: true }]` fazia com que o valor fosse passado diretamente para o `db.connection.raw()` do Knex durante a migração de esquema sem sanitização, permitindo a execução de instruções arbitrárias na camada de banco de dados. Dependendo do mecanismo de banco de dados, isso possibilitava leitura arbitrária de arquivos por meio de funções utilitárias do banco de dados, negação de serviço por meio de travamento forçado do servidor em erro de migração de esquema e, em mecanismos que permitem execução de programas externos, execução remota de código contra o servidor de banco de dados. O patch nas versões 4.26.1 e 5.33.2 corrige isso restringindo todas as APIs de escrita do Content-Type Builder apenas ao modo de desenvolvimento. Implantações em produção executando a v5.33.2 ou posterior retornam 404 para requisições contra `/content-type-builder/content-types` e endpoints relacionados, removendo completamente a superfície de ataque acessível pela rede.

Fontes

• CVE-2026-22599PoC

  PoC em Python e laboratório Docker para CVE-2026-22599, uma injeção SQL autenticada na API de escrita do Content-Type Builder do Strapi via defaultTo raw do Knex.