CVE-2026-27886

Atakujący wysyła zapytanie GET do publicznie dostępnego endpointu Content API, przekazując parametr `where` wskazujący na pole relacyjne (np. `updatedBy`), a następnie zagnieżdżając w nim odwołanie do prywatnego pola tabeli `admin_users`, np. `where[updatedBy][resetPasswordToken][$startsWith]=a`. Warstwa sanityzacji nie blokowała łańcuchów operatorów przechodzących do schematów docelowych relacji, do których wywołujący nie miał uprawnień odczytu. W rezultacie baza danych wykonywała `LEFT JOIN` na tabeli `admin_users` i emitowała klauzulę `WHERE` odwołującą się do prywatnego pola — liczba zwróconych wyników działała jako jednobitowy wyroczni (boolean-oracle). Powtarzając zapytania z różnymi prefiksami, atakujący mógł metodą brute-force odtworzyć pełną wartość tokenu resetowania hasła i zresetować hasło administratora.

Nieuwierzytelniony atakujący może odczytać token resetowania hasła dowolnego konta administratora i dokonać pełnego przejęcia konta administracyjnego (account takeover) bez żadnych poświadczeń.

Należy zaktualizować Strapi do wersji 5.37.0 lub nowszej. Wersja 5.37.0 wprowadza jawną sanityzację parametrów zapytań na granicy kontrolera i serwisu za pomocą nowych prymitywów `strictParam`, `addQueryParams` oraz `addBodyParams`, które odrzucają łańcuchy operatorów przechodzące do ograniczonych celów relacyjnych przed dotarciem do bazy danych. Jeśli natychmiastowa aktualizacja nie jest możliwa, należy rozważyć ograniczenie dostępu do publicznych endpointów Content API na poziomie firewall lub reverse proxy.

Strapi w wersjach od 4.0.0 do (ale nie włącznie) 5.37.0

Podatność jest możliwa do wyeksploatowania wyłącznie wtedy, gdy przynajmniej jeden typ treści (content-type) jest publicznie dostępny (bez uwierzytelnienia) i posiada pole relacyjne do tabeli administratorów, np. wbudowane pole `updatedBy`. Szczegóły techniczne opublikowano w ramach GitHub Security Advisory GHSA-rjg2-95x7-8qmx.