Worum es geht

Strapi ist ein headless Content-Management-System (CMS), dass als Open-Source-Software entwickelt wird. Ein Angreifer kann mehrere Schwachstellen in Strapi ausnutzen, um einen Denial-of-Service-Zustand herbeizuführen, Administratorrechte zu erlangen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder Sicherheitsmaßnahmen zu umgehen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• einen Denial-of-Service-Zustand herbeizuführen
• Administratorrechte zu erlangen
• Daten zu manipulieren
• vertrauliche Informationen offenzulegen oder Sicherheitsmaßnahmen zu umgehen

Bin ich betroffen?

Betroffen sind laut BSI:

• Open Source Strapi <v5.37.0
• Open Source Strapi <v5.45.0
• Open Source Strapi <v4.26.1
• Open Source Strapi <v5.33.2
• Open Source Strapi <v5.33.3

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Open Source Strapi v5.37.0
• Open Source Strapi v5.45.0
• Open Source Strapi v4.26.1
• Open Source Strapi v5.33.2
• Open Source Strapi v5.33.3

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.