CVE-2025-64526

Strapi è un sistema di gestione dei contenuti headless open source. Nelle versioni di Strapi precedenti alla 5.45.0, il middleware di rate-limit nel plugin users-permissions derivava la sua chiave di limitazione della frequenza in parte da `ctx.request.body.email`, anche su route il cui schema del corpo non contiene un campo `email` (`/auth/local`, `/auth/reset-password`, `/auth/change-password`). Un attaccante non autenticato poteva includere un valore `email` arbitrario nel corpo della richiesta per ottenere una nuova chiave di limitazione della frequenza per ogni richiesta, bypassando efficacemente il throttling per IP su quelle route e consentendo tentativi di brute-force ad alto volume di credenziali, brute-force di codici di reset password e attacchi di credential-stuffing. La chiave di rate-limit veniva costruita come `${userIdentifier}:${requestPath}:${ctx.request.ip}`, dove `userIdentifier = ctx.request.body.email`. Su route che usano legittimamente l’email come identificatore (ad esempio `/auth/forgot-password`, `/auth/local/register`), questa delimitazione è corretta. Su route che usano un identificatore diverso (`identifier` per login, `code` per reset password, `currentPassword` per cambio password), il campo email non faceva parte del contratto della route, ma il middleware lo incorporava comunque nella chiave, permettendo a un chiamante di ruotare il valore e ottenere una chiave unica ad ogni richiesta. La patch in versione 5.45.0 mantiene una lista di route consentite che usano legittimamente il campo email come chiave e esclude quella componente di chiave su tutte le altre route su cui è montato il middleware. I percorsi di callback OAuth (`/connect/*`) sono trattati senza identificatore. Su route al di fuori della lista consentita, il middleware ora ricorre a una chiave fissa senza identificatore, garantendo che il throttling per IP rimanga efficace anche quando il corpo della richiesta è controllato dall’attaccante.