CVE-2026-22599
Was ist CVE-2026-22599?
Strapi ist ein Open-Source-Headless-Content-Management-System. In Versionen im 4.x-Zweig vor 4.26.1 und im 5.x-Zweig vor 5.33.2 bestand in der Strapi Content-Type Builder-Schreib-API eine Sicherheitslücke bezüglich der Einschleusung von Datenbankabfragen. Ein authentifizierter Administrator könnte beim Erstellen oder Ändern eines Inhaltstyps beliebige Datenbankanweisungen über das Attribut „column.defaultTo“ einfügen. Das Festlegen von „defaultTo“ als Tupel „[value, { isRaw: true }]“ führte dazu, dass der Wert während der Schemamigration ohne Bereinigung direkt an „db.connection.raw()“ von Knex übergeben wurde, was einen beliebigen Status ermöglichte
FAQ
CVE-2026-22599 hat einen CVSS-Score von N/V/10 und ist als Unbekannt eingestuft. Überprüfen Sie die Liste der betroffenen Produkte und wenden Sie Herstellerpatches an.
CVSS (Common Vulnerability Scoring System) bewertet den Schweregrad von Schwachstellen von 0,0 bis 10,0. CVE-2026-22599 erreicht N/V/10 (Unbekannt). Werte von 9,0–10,0 sind Kritisch, 7,0–8,9 Hoch, 4,0–6,9 Mittel und unter 4,0 Niedrig.
Die Liste der bestätigten Geräte, die von CVE-2026-22599 betroffen sind, finden Sie im Abschnitt "Betroffene Geräte" oben. Vergleichen Sie Ihre Firmware-Version mit dem Sicherheitshinweis des Herstellers und spielen Sie den neuesten Patch ein.
Installieren Sie das neueste Firmware- oder Software-Update des Herstellers. Prüfen Sie den Abschnitt "Referenzen" oben auf offizielle Hinweise und Patch-Notes. Wenn kein Patch verfügbar ist, deaktivieren Sie die betroffene Funktion oder isolieren Sie das Gerät von nicht vertrauenswürdigen Netzwerken.