CVE-2026-27886

Resumo

Strapi é um sistema de gerenciamento de conteúdo headless de código aberto. As versões do Strapi a partir de 4.0.0 e anteriores a 5.37.0 não sanitizavam suficientemente os parâmetros de consulta ao filtrar conteúdo por meio de campos relacionais. Um atacante não autenticado poderia usar o parâmetro de consulta `where` em qualquer tipo de conteúdo publicamente acessível com um campo `updatedBy` (ou outro campo de relação administrativa) para realizar um ataque de oráculo booleano contra campos privados na tabela `admin_users` unida, incluindo o campo `resetPasswordToken`. Extrair um token de redefinição de administrador por meio desse oráculo tornou possível a tomada total da conta de administrador sem autenticação. Quando um filtro como `where[updatedBy][resetPasswordToken][$startsWith]=a` era aplicado a um endpoint público da API de Conteúdo, a geração de consulta subjacente executava um `LEFT JOIN` contra a tabela `admin_users` e emitia uma cláusula `WHERE` referenciando a coluna unida. A camada de sanitização de parâmetros de consulta não bloqueava cadeias de operadores que atravessavam para esquemas de destino relacionais nos quais o chamador não tinha permissão de leitura, permitindo que a contagem de respostas fosse usada como um oráculo de um bit em qualquer campo da tabela de administração. O patch na versão 5.37.0 introduz sanitização explícita de parâmetros de consulta na fronteira entre o controlador e o serviço por meio de três novas primitivas: `strictParam`, `addQueryParams` e `addBodyParams`. Cadeias de operadores que atravessam para destinos relacionais restritos agora são rejeitadas antes de chegarem ao banco de dados.

• CVE-2026-27886-checkScanner

  Detectar se uma instância do Strapi é vulnerável ao CVE-2026-27886 (exfiltração não autenticada de segredos de administrador por oráculo booleano).