KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2023-22621 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Strapi 是一个基于Node.js开发的内容管理系统，Users-Permission 插件的电子邮件模板系统用于管理与用户权限相关的电子邮件通知(默认启用)。
Strapi 4.5.6之前版本中，Users-Permission 插件的电子邮件模板系统存在 SSTI（服务器端模板注入）漏洞，有权访问 Strapi 管理面板的攻击者可在电子邮件模板分隔符（例如 <%STUFF HERE%>）中插入恶意 JavaScript 代码，当 API 账户注册时，系统会加载电子邮件模板发送电子邮件，同时将执行攻击者可控的恶意代码。
此漏洞与 CVE-2023-22894 结合使用可通过劫持管理员帐户，在所有 Strapi <4.5.6 服务器上实现未经身份验证的RCE。
影响范围
应用：strapi strapi（影响面 Up to (excluding) 4.5.6）
解决方案
将组件 Strapi 升级至 4.5.6 及以上版本
参考信息
https://github.com/strapi/strapi/releases
https://strapi.io/blog/security-disclosure-of-vulnerabilities-cve
https://www.ghostccamm.com/blog/multi_strapi_vulns/
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。