CVE-2025-64526
Che cos'è CVE-2025-64526?
Strapi è un sistema di gestione dei contenuti headless open source. Nelle versioni Strapi precedenti alla 5.45.0, il middleware di limite di velocità nel plugin dei permessi degli utenti derivava la sua chiave di limite di velocità in parte da `ctx.request.body.email`, anche su percorsi il cui schema del corpo non contiene un campo `email` (`/auth/local`, `/auth/reset-password`, `/auth/change-password`). Un utente malintenzionato non autenticato potrebbe includere un valore "email" arbitrario nel corpo della richiesta per ottenere una nuova chiave di limite di velocità per richiesta, aggirando di fatto la limitazione per IP su tali percorsi e abilitando la forza bruta delle credenziali ad alto volume, p.
FAQ
CVE-2025-64526 ha un punteggio CVSS di N/D/10, classificato come Sconosciuto. Consultare l'elenco dei prodotti interessati e applicare le patch del fornitore.
Il CVSS (Common Vulnerability Scoring System) valuta la gravità delle vulnerabilità da 0,0 a 10,0. CVE-2025-64526 ottiene N/D/10 (Sconosciuto). Punteggi da 9,0–10,0 sono Critici, 7,0–8,9 Alti, 4,0–6,9 Medi e sotto 4,0 Bassi.
L'elenco dei dispositivi confermati come interessati da CVE-2025-64526 è mostrato nella sezione "Dispositivi interessati" sopra. Confronta la versione del tuo firmware con l'avviso di sicurezza del fornitore e applica l'ultima patch.
Applica l'ultimo aggiornamento firmware o software del fornitore. Controlla la sezione Riferimenti sopra per avvisi ufficiali e note di patch. Se non è disponibile alcuna patch, considera di disabilitare la funzione interessata o isolare il dispositivo da reti non attendibili.