PT-2025-23048 · Strapi · Strapi

CVE-2024-52588 · Publicado 2025-05-27 · Atualizado 2025-06-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Strapi anteriores à 4.25.2

Descrição Esta vulnerabilidade permite que um atacante insira um domínio local no campo de URL dos Webhooks, resultando em uma falsificação de solicitação do lado do servidor (SSRF). Isso possibilita que a aplicação acesse a si mesma, potencialmente permitindo que um atacante realize força bruta em todas as 65.535 portas para determinar quais portas estão abertas, caso haja um servidor real executando o Strapi com múltiplas portas abertas.

Recomendações Para versões do Strapi anteriores à 4.25.2, atualize para a versão 4.25.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao campo de URL dos Webhooks para minimizar o risco de exploração. Evite utilizar domínios locais como localhost, 127.0.0.1 ou 0.0.0.0 no campo de URL dos Webhooks até que o problema seja resolvido.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-52588

GHSA-V8WJ-F5C7-PVXF

Produtos afetados

Strapi

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/52xxx/CVE-2024-52588.json · Exploit
• https://github.com/strapi/strapi · Nota
• https://github.com/strapi/strapi/security/advisories/GHSA-v8wj-f5c7-pvxf · Aviso do Fabricante
• https://t.me/cvenotify/123955 · Publicação no Telegram
• https://t.me/cvetracker/24881 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1928022573608001891 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-52588 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-52588 · Aviso do Fabricante
• https://t.me/cvenotify/126575 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-v8wj-f5c7-pvxf · Aviso do Fabricante