Strapi CVE-2023-22894: datos sensibles expuestos por el filtro

El 8 de octubre de 2026 la CISA añadió al catálogo Known Exploited Vulnerabilities (KEV) la CVE-2023-22894, una vulnerabilidad de Strapi, el CMS headless que se usa como backend de contenidos para sitios web y aplicaciones. Quien tiene acceso al panel de administración puede aprovechar el filtro de consultas para deducir información sensible sobre los usuarios. Con una cuenta super admin se llega al hash de la contraseña y al token de restablecimiento de la contraseña de todos los usuarios.

La vulnerabilidad se publicó en abril de 2023. Su entrada en el catálogo KEV indica que la CISA tiene pruebas de explotación activa: si todavía tienes instalaciones de Strapi sin actualizar, trátala como una prioridad.

Qué ha pasado

La CISA incluyó la CVE-2023-22894 en el KEV con la descripción “Strapi Cleartext Storage of Sensitive Information Vulnerability” y fijó el 11 de octubre de 2026 como plazo para las agencias federales estadounidenses: tres días. En el catálogo, su uso en campañas de ransomware figura como “desconocido”.

El aviso pide aplicar las mitigaciones según las instrucciones del fabricante, de acuerdo con la directiva BOD 26-04 sobre la priorización de las actualizaciones en función del riesgo y con los requisitos de triaje forense de la CISA. Para los servicios en la nube se aplican las indicaciones de la misma directiva; si no hay mitigaciones disponibles, hay que dejar de usar el producto. El aviso pide también evaluar la exposición a Internet de cada sistema.

La CISA no da detalles sobre los ataques observados, sus autores ni las víctimas.

Detalles técnicos

• CVE: CVE-2023-22894, publicada el 19 de abril de 2023. La ficha de NVD se actualizó el 9 de octubre de 2026 y sigue en análisis.
• Mecanismo: desde el panel de administración, el atacante puede filtrar los usuarios por columnas que contienen información sensible y deducir su valor a partir de las respuestas de la API. No lee el dato directamente: lo obtiene observando qué filtros devuelven resultados.
• Con una cuenta super admin: se obtienen el hash de la contraseña y el token de restablecimiento de la contraseña de todos los usuarios.
• Con una cuenta con menos privilegios (por ejemplo, con el rol Editor o Author) que tenga permiso para ver el nombre de usuario y el correo de los usuarios de la API: se obtiene la información sensible de todos los usuarios de la API, pero no la de las demás cuentas de administración.
• Requisito previo: hace falta acceso al panel de administración. Un usuario anónimo no puede explotar esta vulnerabilidad.
• Versiones afectadas: aquí la ficha de NVD no es coherente. La descripción habla de Strapi hasta la 4.5.5; la configuración de productos (CPE) indica las versiones desde la 3.2.1 hasta antes de la 4.8.0. Para saber qué versión contiene la corrección, la referencia es el aviso de seguridad de Strapi, citado entre las referencias de la ficha.
• Gravedad: también aquí las valoraciones difieren. El NIST asigna CVSS 3.1 4.9 (media), AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N, con impacto solo en la confidencialidad. Otra valoración recogida en la ficha asigna 7.2 (alta), AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. En ambos casos se necesitan privilegios elevados.
• Debilidad: CWE-312 (almacenamiento en texto claro de información sensible).
• Código público: entre las referencias de NVD, tanto el aviso de Strapi como un análisis de terceros están clasificados como “Exploit”, así que los detalles para explotar la vulnerabilidad son públicos.

Impacto para las empresas europeas e italianas

Strapi gestiona a menudo los contenidos y los usuarios de sitios, portales y aplicaciones. Los usuarios de la API pueden ser los clientes o suscriptores de un servicio: nombres de usuario, correos, hashes de contraseñas y tokens son datos personales y credenciales. Su robo puede constituir una violación de datos personales según el RGPD, que hay que evaluar para notificarla a la autoridad de control en un plazo de 72 horas.

Que haga falta acceso al panel no hace el riesgo despreciable. Una cuenta de administración con una contraseña débil o ya filtrada en una brecha, o un colaborador con un rol limitado, bastan para llegar a datos que no debería ver. Los tokens de restablecimiento sirven precisamente para cambiar la contraseña de una cuenta: hay que protegerlos como las propias contraseñas.

Para las entidades sujetas a NIS2, esta vulnerabilidad forma parte de la gestión de vulnerabilidades y de la seguridad de la cadena de suministro: muchos sitios con Strapi los desarrollan y gestionan agencias externas, que deben participar en la verificación. Un incidente significativo debe notificarse al CSIRT nacional; en Italia es el CSIRT Italia de la ACN.

Qué hacer ahora

1. Haz inventario: localiza todas las instalaciones de Strapi, incluidas las que gestionan proveedores y agencias, y la versión de cada una.
2. Actualiza: saca cada instalación del rango de versiones indicado en la ficha de NVD y comprueba la versión corregida en el aviso de Strapi. Las instalaciones de la rama 3.x deben evaluarse con el fabricante.
3. Limita el acceso al panel: si es posible, el panel de administración no debe ser accesible desde todo Internet.
4. Revisa cuentas y roles: elimina las cuentas de administración que ya no se usan y comprueba quién tiene el rol super admin y quién puede ver los datos de los usuarios de la API.
5. Si sospechas un abuso: cambia las contraseñas de los administradores, invalida los tokens de restablecimiento pendientes y valora pedir a los usuarios que cambien su contraseña.
6. Detecta: busca en los registros del servidor y del proxy inverso peticiones inusuales del panel de administración que filtren usuarios por campos sensibles, como el hash de la contraseña o el token de restablecimiento, y accesos al panel desde direcciones desconocidas.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete y destaca las que ya explotan los atacantes, como las CVE del catálogo KEV. ARX Expose controla los servicios que tu empresa expone en Internet, los productos reconocidos y sus vulnerabilidades conocidas, y señala las cuentas de la empresa implicadas en brechas. ARX Sentry recoge registros y eventos de los servidores, para que los accesos anómalos sigan siendo visibles.

Última actualización: 8 de octubre de 2026