Strapi: Offenlegung sensibler Benutzerdaten über Abfragefilter im Admin-Panel

Zusammenfassung

Strapi, ein Open-Source-Headless-CMS, erlaubt Benutzern mit Zugriff auf das Admin-Panel, Benutzer über den Abfragefilter nach sensiblen Spalten zu filtern und Werte aus API-Antworten abzuleiten. Ein Super-Admin kann so Passwort-Hashes und Passwort-Reset-Tokens aller Benutzer ermitteln, während eine niedriger privilegierte Rolle mit Zugriff auf Benutzerdaten nur Benutzernamen und E-Mail-Adressen von API-Benutzern einsehen kann. CISA führt die Schwachstelle als aktiv ausgenutzt, und sie kann mit CVE-2023-22621 zu einer Remote Code Execution verkettet werden.

Betroffen

• Strapi bis 4.5.5 gemäss NVD
• Strapi 3.2.1 bis 4.8.0 gemäss GitHub- und GitLab-Advisories
• Einige Drittseiten nennen bis 4.7.1; 4.7.x als potenziell betroffen behandeln

Unbekannt: genauer Bereich, zu bestätigen mit dem Herstellerhinweis

Behoben in

• Auf Strapi 4.8.0 oder neuer aktualisieren
• Strapi 3.x hat das Lebensende am 31. Dezember 2022 erreicht und erhält keine Sicherheitsupdates mehr; auf eine unterstützte Hauptversion migrieren

Umgehung

Unbekannt. Der Hersteller dokumentiert keinen Workaround; das Update ist die Behebung.

• Zusätzliche Härtung (nicht vom Hersteller): Zugriff auf das Admin-Panel auf vertrauenswürdige IP-Bereiche oder ein VPN beschränken; MFA und starke Passwörter für Admin-Konten erzwingen; einschränken, welche Rollen Benutzerfelder abfragen können; Admin-Konten auf das Minimum reduzieren

Ausnutzung

• CISA KEV: als aktiv ausgenutzt bekannt, hinzugefügt am 2026-10-08, Frist 2026-10-11
• Öffentlicher Proof-of-Concept-Code ist auf exploit-intel gelistet; nicht geprüft
• CISA gibt an, dass die Schwachstelle mit CVE-2023-22621 zu einer Remote Code Execution verkettet werden kann
• Angreifer benötigen Zugriff auf das Admin-Panel (CVSS PR:H)

Unsere Empfehlung

• Strapi prioritär auf 4.8.0 oder neuer aktualisieren
• Falls die Instanz auf einer Linie liegt, die nicht direkt auf 4.8.0 wechseln kann, eine Migration auf eine unterstützte Hauptversion mit Kompatibilitätstests planen
• Zusätzlich CVE-2023-22621 beheben (Strapi 4.5.6 oder neuer)
• Admin-Konten und Rollen prüfen, MFA erzwingen und bei vermuteter Exposition Passwörter und Tokens zurücksetzen
• Admin-Panel auf vertrauenswürdige Netze beschränken und Admin-Anmeldungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Saboor-Hakimi/CVE-2023-22894 · maxntv/CVE-2023-22894-PoC

Quellen der Recherche

• Strapi security disclosure (April 2023) strapi.io
• Strapi releases github.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• GitLab advisory CVE-2023-22894 advisories.gitlab.com
• Researcher blog: Strapi vulnerabilities www.ghostccamm.com
• CVE-2023-22894 on cve-security.com cve-security.com
• Exploit-intel CVE-2023-22894 exploit-intel.com
• Security Affairs: CISA KEV additions securityaffairs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:50.