Strapi CVE-2023-22894: date sensibile expuse prin filtrul query

Pe 8 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) vulnerabilitatea CVE-2023-22894 din Strapi, CMS-ul headless folosit ca backend de conținut pentru site-uri web și aplicații. Cine are acces la panoul de administrare poate folosi filtrul interogărilor pentru a deduce informații sensibile despre utilizatori. Cu un cont super admin se ajunge la hash-ul parolei și la tokenul de resetare a parolei pentru toți utilizatorii.

Vulnerabilitatea a fost publicată în aprilie 2023. Includerea în catalogul KEV arată că CISA are dovezi de exploatare activă: dacă mai ai instalări Strapi neactualizate, tratează problema ca prioritară.

Ce s-a întâmplat

CISA a inclus CVE-2023-22894 în KEV cu descrierea „Strapi Cleartext Storage of Sensitive Information Vulnerability” și a stabilit 11 octombrie 2026 ca termen pentru agențiile federale americane: trei zile. În catalog, folosirea în campanii ransomware apare ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Pentru serviciile cloud se aplică indicațiile aceleiași directive; dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la internet a fiecărui sistem.

CISA nu oferă detalii despre atacurile observate, autori sau victime.

Detalii tehnice

• CVE: CVE-2023-22894, publicată pe 19 aprilie 2023. Fișa NVD a fost actualizată pe 9 octombrie 2026 și este încă în analiză.
• Mecanism: din panoul de administrare, atacatorul poate filtra utilizatorii după coloane care conțin informații sensibile și le poate deduce valoarea din răspunsurile API. Nu citește datele direct: le află observând ce filtre returnează rezultate.
• Cu un cont super admin: se obțin hash-ul parolei și tokenul de resetare a parolei pentru toți utilizatorii.
• Cu un cont cu privilegii mai mici (de exemplu cu rolul Editor sau Author) care are permisiunea să vadă numele de utilizator și emailul utilizatorilor API: se obțin informațiile sensibile ale tuturor utilizatorilor API, dar nu și ale celorlalte conturi de administrare.
• Condiție prealabilă: este nevoie de acces la panoul de administrare. Un utilizator anonim nu poate exploata această vulnerabilitate.
• Versiuni afectate: aici fișa NVD nu este coerentă. Descrierea vorbește despre Strapi până la 4.5.5; configurația produselor (CPE) indică versiunile de la 3.2.1 până la 4.8.0, exclusiv. Pentru versiunea care conține corecția, referința este avizul de securitate Strapi, citat printre referințele fișei.
• Gravitate: și evaluările diferă. NIST acordă CVSS 3.1 4.9 (medie), AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N, cu impact doar asupra confidențialității. O altă evaluare din fișă acordă 7.2 (ridicată), AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. În ambele cazuri sunt necesare privilegii ridicate.
• Slăbiciune: CWE-312 (stocarea în clar a informațiilor sensibile).
• Cod public: printre referințele NVD, atât avizul Strapi, cât și o analiză a unei terțe părți sunt clasificate „Exploit”, deci detaliile pentru exploatarea vulnerabilității sunt publice.

Impactul pentru companiile europene și italiene

Strapi gestionează adesea conținutul și utilizatorii unor site-uri, portaluri și aplicații. Utilizatorii API pot fi clienții sau abonații unui serviciu: numele de utilizator, emailurile, hash-urile parolelor și tokenurile sunt date personale și credențiale. Furtul lor poate constitui o încălcare a securității datelor cu caracter personal conform GDPR, care trebuie evaluată pentru notificarea autorității de supraveghere în 72 de ore.

Faptul că este nevoie de acces la panou nu face riscul neglijabil. Un cont de administrare cu o parolă slabă sau deja expusă într-o breșă, ori un colaborator cu un rol limitat, sunt suficiente pentru a ajunge la date pe care nu ar trebui să le vadă. Tokenurile de resetare servesc tocmai la schimbarea parolei unui cont: trebuie protejate ca parolele însele.

Pentru entitățile NIS2, vulnerabilitatea ține de gestionarea vulnerabilităților și de securitatea lanțului de aprovizionare: multe site-uri cu Strapi sunt realizate și administrate de agenții externe, care trebuie implicate în verificare. Un incident semnificativ trebuie notificat CSIRT-ului național; în Italia este CSIRT Italia din cadrul ACN.

Ce să faci acum

1. Fă inventarul: identifică toate instalările Strapi, inclusiv cele administrate de furnizori și agenții, și versiunea fiecăreia.
2. Actualizează: scoate fiecare instalare din intervalul de versiuni indicat în fișa NVD, verificând versiunea corectată în avizul Strapi. Instalările de pe ramura 3.x trebuie evaluate împreună cu producătorul.
3. Limitează accesul la panou: dacă este posibil, panoul de administrare nu trebuie să fie accesibil din tot internetul.
4. Revizuiește conturile și rolurile: șterge conturile de administrare nefolosite, verifică cine are rolul super admin și cine poate vedea datele utilizatorilor API.
5. Dacă suspectezi un abuz: schimbă parolele administratorilor, invalidează tokenurile de resetare în așteptare și ia în calcul să ceri utilizatorilor schimbarea parolei.
6. Detectează: caută în jurnalele serverului și ale proxy-ului invers cereri neobișnuite din panoul de administrare care filtrează utilizatorii după câmpuri sensibile, cum ar fi hash-ul parolei sau tokenul de resetare, și accesări ale panoului de la adrese necunoscute.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le evidențiază pe cele deja exploatate de atacatori, cum sunt CVE-urile din catalogul KEV. ARX Expose verifică serviciile pe care compania ta le expune pe internet, produsele recunoscute și vulnerabilitățile lor cunoscute și semnalează conturile companiei implicate în breșe. ARX Sentry colectează jurnale și evenimente de pe servere, astfel încât accesările anormale rămân vizibile.

Ultima actualizare: 8 octombrie 2026