CVE-2026-27886
由于缺少查询清理，Strapi 可能通过关系过滤泄露敏感数据
- 已发布
- 2026年5月14日
- 已更新
- 2026年5月14日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X低 · 未来 30 天
- 百分位
- 47.7%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Strapi 是一个开源的无头内容管理系统。Strapi 4.0.0 及之后、5.37.0 之前的版本在通过关系字段过滤内容时，未能充分清理查询参数。未认证的攻击者可以在任何带有 `updatedBy`（或其他管理员关联）字段的公开可访问内容类型上使用 `where` 查询参数，对连接后的 `admin_users` 表上的私有字段（包括 `resetPasswordToken` 字段）执行布尔预言机攻击。通过此预言机提取管理员重置令牌，即可在无需认证的情况下实现完全的管理员账户接管。当向公共 Content API 端点应用 `where[updatedBy][resetPasswordToken][$startsWith]=a` 之类的过滤器时，底层查询生成会针对 `admin_users` 表执行 `LEFT JOIN`，并生成引用该连接列的 `WHERE` 子句。查询参数清理层未能阻止穿越到调用方没有读取权限的关系目标模式的运算符链，从而允许将响应计数用作针对任何管理员表字段的单比特预言机。5.37.0 版本中的补丁通过三个新的原语（`strictParam`、`addQueryParams` 和 `addBodyParams`）在控制器与服务边界引入了显式的查询参数清理。穿越到受限关系目标的运算符链现在会在到达数据库之前被拒绝。
来源
3检测Strapi实例是否易受CVE-2026-27886漏洞（未认证的布尔预言机泄露管理员密钥）影响。
Strapi CVE-2026-27886。由于缺乏查询清理，通过关系过滤泄露敏感数据
Strapi CMS 中 CVE-2026-27886 的完整账户接管 PoC
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。