Heimdall Security Logo

CVE-2026-90561

Vulnérabilité critique dans strapi (strapi)

CVSS 9.3 · Critique
EPSS 0.4%
strapi•strapi•Versions : 5.0.0, <=4.26.2, 4.0.0, <5.48.1

Description

Strapi versions 4.x through 4.26.2 and 5.x before 5.48.1 contain a stored cross-site scripting vulnerability in the content manager WYSIWYG preview component that fails to strip script tags from rich text. An Author-role user can store malicious script tags in rich text fields that execute in an Editor or Super Admin's session when the preview pane is expanded, enabling account takeover.

Gravité et risque d'exploitation

CVE-2026-90561 obtient un score CVSS de 9.3/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.43 %, ce qui la place devant 35.9 % des CVE référencées.

Que faire ?

  • Vérifiez si strapi (versions 5.0.0, <=4.26.2, 4.0.0, <5.48.1) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE