Überprüfen Sie umgehend Ihre Strapi-Installationen und aktualisieren Sie diese auf eine gepatchte Version (4.8.0, 4.6.0 oder 4.5.6, je nach Basisversion).
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2023-22894+25
- Hoechster CVSS-Basiswert 4.9+9
- EPSS 4.1 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2023-22621, CVE-2023-22893
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[UPDATE] [hoch] Strapi: Mehrere Schwachstellen
In Strapi, einem quelloffenen Headless CMS, wurden mehrere kritische Schwachstellen entdeckt. Diese ermöglichen es einem entfernten Angreifer, Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen und Daten offenzulegen. Betroffen sind verschiedene Strapi-Versionen unter Linux, Windows und anderen Plattformen. Nutzern wird dringend empfohlen, die bereitgestellten Herstellerinformationen zu prüfen und umgehend Updates einzuspielen.
SecBoard-Einordnung
Die Schwachstellen erlauben entfernten, nicht authentifizierten Angreifern die Ausführung von beliebigem Code, die Umgehung von Sicherheitsmaßnahmen und die Offenlegung von Informationen, was zu schwerwiegenden Kompromittierungen führen kann.
Realistisch schlimmster Fall: Ein entfernter Angreifer könnte die Kontrolle über das Strapi-System übernehmen, sensible Daten exfiltrieren und die Integrität der betroffenen Systeme beeinträchtigen.
Im erfassten Bestand
- ▸CVE-2023-22894 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.
- ▸CVE-2023-22894 stand zum Zeitpunkt dieser Meldung seit 5 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 4.9 · MEDIUM
- EPSS
- 4.1%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit
- im KEV seit
- 2026-10-08
- Patch
- unbekannt
- Zuweisende CNA
- cve@mitre.org
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Organisationen, die Strapi, ein quelloffenes Headless CMS, in den Versionen unter 4.8.0, 4.6.0 und 4.5.6 auf Linux, Windows oder anderen UNIX-ähnlichen Plattformen einsetzen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (1)
- cpe:2.3:a:strapi:strapi:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie die aktuell installierte Strapi-Version und stellen Sie sicher, dass diese mindestens Version 4.8.0, 4.6.0 oder 4.5.6 ist.
- ▸Scannen Sie Ihre Strapi-Instanzen auf bekannte Schwachstellen, die mit den genannten CVEs in Verbindung stehen könnten.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Netzwerkverkehr und Systemprotokolle auf ungewöhnliche Aktivitäten oder Anzeichen von Code-Ausführung auf Ihren Strapi-Servern.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genauen CVE-IDs der Schwachstellen sind im Artikel nicht spezifiziert.
- ▸Die spezifischen Auswirkungen auf verschiedene Datenarten (z.B. PII, Finanzdaten) sind nicht detailliert.
- ▸Es ist nicht spezifiziert, ob es bereits aktive Ausnutzungen dieser Schwachstellen gibt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ermöglichen es einem entfernten Angreifer, Programmcode auszuführen“
„Daten offenzulegen“
„Sicherheitsmaßnahmen zu umgehen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile