一、 漏洞 CVE-2023-22893 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
Strapi到4.5.5版本并不验证在OAuth流程中，当AWS Cognito登录 provider用于身份验证时生成的访问或ID令牌。远程攻击者可以伪造一个使用'None'类型算法签名的ID令牌，绕过身份验证并伪装使用AWS Cognito进行身份验证的任何用户。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Strapi through 4.5.5 does not verify the access or ID tokens issued during the OAuth flow when the AWS Cognito login provider is used for authentication. A remote attacker could forge an ID token that is signed using the 'None' type algorithm to bypass authentication and impersonate any user that use AWS Cognito for authentication.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Strapi 授权问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Strapi是一套开源的内容管理系统（CMS）。 Strapi 4.5.5之前版本存在安全漏洞，该漏洞源于当AWS Cognito 登录提供程序用于身份验证时，Strapi 不会验证在 OAuth 流程期间发出的访问或 ID 令牌。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2023-22893 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2023-22893 的情报信息