Strapi: Mehrere Schwachstellen
WID-SEC-2023-1040 · primera publicación 20.04.2023 · actualizado 13.10.2026 · CVSS 10,0
De qué se trata
Strapi ist ein headless Content-Management-System (CMS), dass als Open-Source-Software entwickelt wird. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Strapi ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsvorkehrungen zu umgehen und Informationen offenzulegen.
¿En qué condiciones?
A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Programmcode auszuführen
- Sicherheitsvorkehrungen zu umgehen
- Informationen offenzulegen
¿Me afecta?
Afectados según el BSI:
- Open Source Strapi <4.5.6
- Open Source Strapi <4.6.0
- Open Source Strapi <4.8.0
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Strapi 4.5.6
- Open Source Strapi 4.6.0
- Open Source Strapi 4.8.0
¿Se está explotando ya la vulnerabilidad?
- CVE-2023-22894: explotada en la práctica según la CISA, en el catálogo desde el 08.10.2026.
- Según un aviso de la CISA, utilizada por actores de China: Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (10/2026)
Información y fuentes
- Aviso original del BSI (WID)
- strapi Security Disclosure of Vulnerabilities vom 2023-04-19 strapi.io
- Exploit CVE-2023-22894 www.cisa.gov
CVE: CVE-2023-22621, CVE-2023-22893, CVE-2023-22894
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.