Strapi CVE-2023-22894: dati sensibili esposti dal filtro query

L’8 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2023-22894, una vulnerabilità di Strapi, il CMS headless usato come backend di contenuti per siti web e applicazioni. Chi ha accesso al pannello di amministrazione può sfruttare il filtro delle query per ricavare informazioni sensibili sugli utenti. Con un account super admin si arriva all’hash della password e al token di reimpostazione della password di tutti gli utenti.

La vulnerabilità è stata pubblicata ad aprile 2023. L’ingresso nel catalogo KEV indica che la CISA ha prove di sfruttamento attivo: chi ha ancora installazioni Strapi non aggiornate deve trattarla come una priorità.

Cosa è successo

La CISA ha inserito la CVE-2023-22894 nel KEV con la descrizione “Strapi Cleartext Storage of Sensitive Information Vulnerability” e ha fissato all’11 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Per i servizi cloud valgono le indicazioni della stessa direttiva; se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

La CISA non fornisce dettagli sugli attacchi osservati, sugli autori o sulle vittime.

Dettagli tecnici

• CVE: CVE-2023-22894, pubblicata il 19 aprile 2023. La scheda NVD è stata aggiornata il 9 ottobre 2026 ed è ancora in analisi.
• Meccanismo: dal pannello di amministrazione l’attaccante può filtrare gli utenti in base a colonne che contengono informazioni sensibili e dedurne il valore dalle risposte dell’API. Non legge il dato direttamente: lo ricava osservando quali filtri restituiscono risultati.
• Con un account super admin: si ottengono l’hash della password e il token di reimpostazione della password di tutti gli utenti.
• Con un account meno privilegiato (per esempio con ruolo Editor o Author) che ha il permesso di vedere nome utente ed email degli utenti API: si ottengono le informazioni sensibili di tutti gli utenti API, ma non quelle degli altri account di amministrazione.
• Prerequisito: serve un accesso al pannello di amministrazione. Non è una vulnerabilità sfruttabile da un utente anonimo.
• Versioni colpite: qui le informazioni della scheda NVD non coincidono. La descrizione parla di Strapi fino alla 4.5.5; la configurazione dei prodotti (CPE) indica le versioni dalla 3.2.1 a prima della 4.8.0. Per stabilire la versione con la correzione fa fede il bollettino di sicurezza di Strapi, citato tra i riferimenti della scheda.
• Gravità: anche qui le valutazioni divergono. Il NIST assegna CVSS 3.1 4.9 (media), AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N, con impatto solo sulla riservatezza. Un’altra valutazione riportata nella scheda assegna 7.2 (alta), AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. In entrambi i casi servono privilegi elevati.
• Debolezza: CWE-312 (archiviazione in chiaro di informazioni sensibili).
• Codice pubblico: tra i riferimenti della scheda NVD, sia il bollettino di Strapi sia un’analisi di terze parti sono classificati come “Exploit”: i dettagli per sfruttare la vulnerabilità sono quindi pubblici.

Impatto per le aziende europee e italiane

Strapi gestisce spesso i contenuti e gli utenti di siti, portali e applicazioni. Gli utenti API possono essere i clienti o gli iscritti di un servizio: nomi utente, email, hash delle password e token sono dati personali e credenziali. Un loro furto può configurare una violazione di dati personali secondo il GDPR, da valutare per la notifica al Garante entro 72 ore.

Il prerequisito dell’accesso al pannello non rende il rischio trascurabile. Un account di amministrazione con una password debole o già finita in una violazione, oppure un collaboratore con un ruolo limitato, bastano per arrivare a dati che non dovrebbe vedere. I token di reimpostazione, per loro natura, servono a cambiare la password di un account: vanno protetti come le password stesse.

Per i soggetti NIS2 la vulnerabilità rientra nella gestione delle vulnerabilità e nella sicurezza della catena di fornitura: molti siti con Strapi sono realizzati e gestiti da agenzie esterne, che vanno coinvolte nella verifica. Un incidente significativo va notificato al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario: individua tutte le installazioni di Strapi, comprese quelle gestite da fornitori e agenzie, e la versione di ciascuna.
2. Aggiorna: porta ogni installazione fuori dall’intervallo di versioni indicato dalla scheda NVD, verificando la versione corretta nel bollettino di Strapi. Le installazioni del ramo 3.x vanno valutate con il produttore.
3. Limita l’accesso al pannello: se possibile, il pannello di amministrazione non deve essere raggiungibile da tutto Internet.
4. Rivedi account e ruoli: elimina gli account di amministrazione non più usati, controlla chi ha il ruolo super admin e chi può vedere i dati degli utenti API.
5. Se sospetti un abuso: cambia le password degli amministratori, invalida i token di reimpostazione in sospeso e valuta di chiedere agli utenti il cambio della password.
6. Rileva: cerca nei log del server e del proxy inverso richieste insolite del pannello di amministrazione che filtrano gli utenti su campi sensibili, come l’hash della password o il token di reimpostazione, e accessi al pannello da indirizzi sconosciuti.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate dagli attaccanti, come le CVE del catalogo KEV. ARX Expose controlla i servizi che la tua azienda espone su Internet, i prodotti riconosciuti e le loro vulnerabilità note, e segnala gli account aziendali coinvolti in violazioni. ARX Sentry raccoglie log ed eventi dai server, così gli accessi anomali restano visibili.

Ultimo aggiornamento: 8 ottobre 2026