CVE-2023-22894

Strapi Cleartext Storage of Sensitive Information

4.9 GEMIDDELDActief misbruikt (CISA KEV)Publieke exploitEPSS 3.61%

Gepubliceerd19 apr 2023
Toegevoegd aan CISA KEV8 okt 2026
Hersteldeadline11 okt 2026

Strapi contains a cleartext storage of sensitive information vulnerability that could allow attackers with access to the admin panel to discover sensitive user details via the query filter. The impacted product(s) could be end-of-life (EoL) and/or end-of-service (EoS). Users are advised to discontinue use and/or transition to a supported version. This vulnerability can be chained with CVE-2023-22621 to achieve remote code execution.

Toegevoegd aan KEV: 8 okt 2026Federale hersteldeadline: 11 okt 2026

Beschrijving

Strapi through 4.5.5 allows attackers (with access to the admin panel) to discover sensitive user details by exploiting the query filter. The attacker can filter users by columns that contain sensitive information and infer a value from API responses. If the attacker has super admin access, then this can be exploited to discover the password hash and password reset token of all users. If the attacker has admin panel access to an account with permission to access the username and email of API users with a lower privileged role (e.g., Editor or Author), then this can be exploited to discover sensitive information for all API users but not other admin accounts.

CVSS 3.1-ontleding

Attack vectorNetwork

Attack complexityLow

Privileges requiredHigh

User interactionNone

ScopeUnchanged

ConfidentialityHigh

IntegrityNone

AvailabilityNone

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Getroffen producten

Strapi≥ 3.2.1 < 4.8.0

Herstel

Opgelost in

Strapi≥ 4.8.0

Patch- & leveranciersadviezen

https://strapi.io/blog/security-disclosure-of-vulnerabilities-cve

Referenties

https://github.com/strapi/strapi/releasesRelease Notes
https://strapi.io/blog/security-disclosure-of-vulnerabilities-cveExploitVendor Advisory
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-22894US Government Resource
https://www.ghostccamm.com/blog/multi_strapi_vulns/ExploitThird Party Advisory

Gerelateerde CVE's

Recente ernstige kwetsbaarheden met hetzelfde zwakhedentype.

Veelgestelde vragen

Wordt CVE-2023-22894 actief misbruikt?

Ja. CVE-2023-22894 staat in de CISA KEV-catalogus, toegevoegd op 8 okt 2026.

Hoe ernstig is CVE-2023-22894?

CVE-2023-22894 heeft een CVSS 3.1-basisscore van 4.9, beoordeeld als gemiddeld. EPSS schat een exploitkans van 3.61%.

Welke producten zijn getroffen door CVE-2023-22894?

Getroffen producten zijn onder meer Strapi.

Hoe verhelp ik CVE-2023-22894?

Werk getroffen software bij naar een opgeloste versie, bijvoorbeeld Strapi 4.8.0 of later, en controleer daarna dat er geen getroffen versies meer in uw inventaris staan.

Hoe Secuno hiermee omgaat

Secuno correleert kwetsbaarheden zoals CVE-2023-22894 dagelijks tegen de werkelijke software-inventaris op elk beheerd apparaat. In plaats van een statische ernst wordt elke match in context gescoord: exploitbeschikbaarheid, EPSS, de blootstelling van het asset en bedrijfskriticiteit bepalen de prioriteit. Omdat deze op de CISA KEV-lijst staat, markeert Secuno elk getroffen asset automatisch als topprioriteit. Als een getroffen versie ergens in uw portfolio aanwezig is, verschijnt die automatisch met een geprioriteerd hersteltraject.

Zie hoe prioritering werkt Plan een demo

Data uit de NVD, CISA KEV-catalogus en FIRST EPSS. CVSS 3.1-basisscore getoond indien beschikbaar.