CVE-2023-22894
Strapi vazando informações sensíveis de usuários ao filtrar em campos privados
Traduzido automaticamente do inglês.
O Strapi contém uma vulnerabilidade de armazenamento em texto simples de informações sensíveis que pode permitir que atacantes com acesso ao painel de administração descubram detalhes sensíveis de usuários por meio do filtro de consulta. O(s) produto(s) afetado(s) pode(m) estar com o fim de vida útil (EoL) e/ou fim de serviço (EoS). Os usuários são aconselhados a descontinuar o uso e/ou fazer a transição para uma versão com suporte. Esta vulnerabilidade pode ser encadeada com a CVE-2023-22621 para alcançar a execução remota de código.
- Explorada ativamente
- Gravidade
- Alta, CVSS 7.5 (v3.1)
- EPSS
- 3,61% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Fabricante
- Strapi, Strapi
- Prazo da CISA para agências federais dos EUA
- 11 de out. de 2026
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Pacotes afetados
- @strapi/strapi (npm) >= 3.2.1, < 4.8.0, corrigido em 4.8.0 · GHSA-jjqf-j4w7-92w8