CVE-2019-18818

strapi before 3.0.0-beta.17.5 mishandles password resets within packages/strapi-admin/controllers/Auth.js and packages/strapi-plugin-users-permissions/controllers/Auth.js.

Link	Resource
https://github.com/strapi/strapi/releases/tag/v3.0.0-beta.17.5	Release Notes Third Party Advisory
https://github.com/strapi/strapi/pull/4443	Third Party Advisory
https://www.npmjs.com/advisories/1311	Third Party Advisory
http://packetstormsecurity.com/files/163939/Strapi-3.0.0-beta-Authentication-Bypass.html	Exploit Third Party Advisory
http://packetstormsecurity.com/files/163950/Strapi-CMS-3.0.0-beta.17.4-Remote-Code-Execution.html	Exploit Third Party Advisory
http://packetstormsecurity.com/files/165896/Strapi-CMS-3.0.0-beta.17.4-Privilege-Escalation.html	Exploit Third Party Advisory

Configuration 1

cpe:2.3:a:strapi:strapi:*:*:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha4.8:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha5.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha5.5:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha6.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha6.4:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha6.7:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha7.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha7.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha8:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha8.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha9:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha9.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha9.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha10.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha10.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha10.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha11:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha11.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha11.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha11.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.1.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.4:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.5:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.6:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.7:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha12.7.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha13:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha13.0.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha13.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14.1.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14.4.0:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha14.5:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha15:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha16:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha17:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha18:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha19:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha20:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha21:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha22:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha23:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha23.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha24:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha24.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha25:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha25.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha25.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha26:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha26.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta0:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta4:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta5:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta6:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta7:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta8:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta9:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta10:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta11:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta12:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta13:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta14:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta15:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.4:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.5:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.6:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.7:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta16.8:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta17:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta17.1:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta17.2:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta17.3:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:beta17.4:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha4:*:*:*:*:*:* cpe:2.3:a:strapi:strapi:3.0.0:alpha26.2:*:*:*:*:*:*

---

Published : 2019-11-07 10:15

Updated : 2022-02-20 06:22

---

NVD link : CVE-2019-18818

Mitre link : CVE-2019-18818

No products.

CWE-640

Weak Password Recovery Mechanism for Forgotten Password