Strapi, מערכת לניהול תוכן שמשמשת כשרת לאתרים ולאפליקציות, מכילה חולשה שמאפשרת למי שהגיע לפאנל הניהול לחלץ פרטי אימות של כל המשתמשים במערכת. החולשה אינה פותחת את הדלת מבחוץ, היא מרחיבה מאוד את מה שתוקף יכול לעשות אחרי שנכנס. ב-8 באוקטובר 2026 היא נוספה לרשימת החולשות שידוע על ניצול שלהן בשטח.
מה החולשה?
Strapi מספק API שדרכו אפשר לבקש רשומות ולסנן אותן לפי שדה, למשל לבקש את כל המשתמשים ששם המשתמש שלהם מתחיל באות מסוימת. הסינון הזה לא הוגבל לשדות שמותר לחפש בהם.
מכאן הדרך קצרה. תוקף מסנן לפי השדה שבו שמור גיבוב הסיסמה, כלומר הגרסה המעובדת של הסיסמה כפי שהיא נשמרת במסד הנתונים, ושואל שאלות של כן או לא: האם קיים משתמש שהערך בשדה הזה אצלו מתחיל בתו הזה? התשובה אינה מחזירה את הערך עצמו, אבל היא מגלה אם הניחוש נכון, ואפשר להרכיב ממנה את הערך תו אחר תו.
ברשומה של NVD מפורט מה נחשף בפועל, והיקף החשיפה תלוי בהרשאה של החשבון שבידי התוקף. חשבון super admin מגיע לגיבוב הסיסמה ול-token של איפוס הסיסמה של כל המשתמשים. חשבון ניהול מוגבל יותר, שרשאי לראות שם משתמש וכתובת דואר של משתמשי API בהרשאה נמוכה, מגיע למידע הרגיש של כל משתמשי ה-API, אבל לא של חשבונות ניהול אחרים.
מי מושפע?
לפי הרשומה, Strapi מגרסה 3.2.1 ועד 4.8.0, לא כולל 4.8.0 עצמה. בתיאור מצוין גם שהבעיה קיימת בגרסאות עד 4.5.5, כך ששווה להתייחס לכל מה שמתחת ל-4.8.0 כחשוף.
Strapi נפוץ בקרב סטודיואים לפיתוח ווב ובחברות צעירות, מפני שהוא נותן ממשק ניהול תוכן מוכן מעל מסד נתונים. בישראל זה אומר לא מעט אתרים ואפליקציות של חברות קטנות ובינוניות שהוקמו בשנים האחרונות, ולעיתים גם מערכות שהספק שבנה אותן כבר אינו מתחזק.
מכיוון שהחולשה דורשת גישה לפאנל הניהול, היא מסוכנת במיוחד בהתקנות שבהן יש הרבה חשבונות ניהול, או חשבון שנשאר פתוח מספק חיצוני.
האם מנוצלת בפועל?
כן. ב-8 באוקטובר 2026 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הקטלוג שמרכז חולשות שיש עדות לניצולן בפועל, עם דרישה מגופים פדרליים לטפל בה עד 11 באוקטובר 2026.
שווה להבין למה חולשה שדורשת גישה מוקדמת מגיעה לקטלוג כזה בכלל. היא כמעט תמיד השלב השני בשרשרת: התוקף נכנס עם פרטי אימות שדלפו או עם חשבון ניהול חלש, ומשם היא מוסרת לו את ה-token-ים של כל השאר. כך חשבון אחד הופך לכל החשבונות.
מה עושים?
עדכנו את Strapi ל-4.8.0 או מעלה. זאת הגרסה שבה הבעיה תוקנה, וההודעה של היצרן מפורטת בבלוג של Strapi. רשימת הגרסאות נמצאת בדף השחרורים בגיטהאב.
במקביל, עברו על חשבונות הניהול במערכת ומחקו את מה שאינו בשימוש. חשבון של ספק שסיים את העבודה, או חשבון בדיקה מההקמה, הוא בדיוק נקודת הפתיחה שהחולשה הזאת צריכה.
אם רצתם בגרסה חשופה והפאנל היה נגיש מהאינטרנט, התייחסו ל-token-ים של איפוס הסיסמה כאל מידע שדלף: אפסו סיסמאות למשתמשי הניהול והחליפו את מפתחות ה-API.
ולבסוף, הגבילו את הגישה לפאנל הניהול. אין סיבה שממשק הניהול של מערכת תוכן יהיה פתוח לכל האינטרנט כשאפשר לחסום אותו לכתובות מסוימות או להעמיד לפניו חיבור VPN.