CVE-2023-22894 en Strapi: vulnerabilidad ya explotada

CVE-2023-22894 en Strapi: vulnerabilidad ya explotada

Qué es y a quién afectaStrapi, el gestor de contenidos headless de código abierto muy usado para construir APIs y backends de aplicaciones, arrastra u...

Qué es y a quién afecta

Strapi, el gestor de contenidos headless de código abierto muy usado para construir APIs y backends de aplicaciones, arrastra un fallo registrado como CVE-2023-22894 y descrito oficialmente como una vulnerabilidad de almacenamiento de información sensible en texto claro (CWE-312). En la práctica, permite que un atacante con acceso al panel de administración descubra datos sensibles de usuarios aprovechando el filtrado de consultas de la API.

Armario de servidores con una puerta entreabierta por la que se filtra información sensible en Strapi

Según la NVD del NIST, el problema afecta a las versiones de Strapi desde la 3.2.1 (incluida) hasta la 4.8.0 (sin incluir). La gravedad asignada es CVSS 3.1 de 4.9 (MEDIUM), con vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N. La nota clave es que el atacante necesita privilegios dentro del panel: si dispone de superadministrador puede llegar a inferir el hash de contraseña y el token de restablecimiento de todos los usuarios; si tiene un rol con permiso para ver nombre de usuario y correo de usuarios de menor privilegio, puede extraer esa información del resto de cuentas de la API.

Esto afecta especialmente a pymes, comercios online y equipos de IT pequeños de España y Cataluña (Barcelona, Lleida, Tarragona, Girona) que han montado su web o su API sobre Strapi y no han revisado la versión desde hace tiempo. Un panel de administración accesible desde internet multiplica el riesgo.

Por qué es urgente ahora

El dato que cambia la prioridad es que CISA añadió CVE-2023-22894 a su catálogo KEV el 8 de octubre de 2026. Eso significa que consta como vulnerabilidad explotada en ataques reales, no como una hipótesis teórica. CISA fijó a las agencias federales de EE. UU. un plazo de corrección hasta el 11 de octubre de 2026.

Además, la propia descripción de CISA advierte de que este fallo puede encadenarse con CVE-2023-22621 para alcanzar ejecución remota de código, lo que eleva mucho el impacto potencial: de filtrar datos a tomar el control del servidor. CISA también señala que el producto afectado podría estar al final de su vida útil y recomienda dejar de usarlo o migrar a una versión soportada. No consta, en cambio, uso en campañas de ransomware según los datos disponibles.

Para una empresa española, el encaje con el RGPD y la LOPDGDD es directo: si se filtran correos, nombres de usuario o tokens de restablecimiento, hay una posible brecha de datos personales que obliga a evaluar su notificación. No conviene esperar a que el incidente ocurra.

Qué hacer hoy

  • Comprueba si usas Strapi y en qué versión. Revisa el archivo de dependencias o el panel del proyecto. Si estás entre la 3.2.1 y cualquier versión anterior a la 4.8.0, estás dentro del rango afectado.
  • Aplica la actualización o mitigación que indique el aviso del fabricante. Strapi publicó un aviso de seguridad propio y mantiene sus notas de versión en su repositorio; sigue esas instrucciones al pie de la letra, sin improvisar parches propios.
  • Revisa indicios de intrusión. Busca accesos al panel desde ubicaciones o horarios anómalos, consultas de filtrado inusuales sobre usuarios y cuentas de administrador creadas sin autorización. Si sospechas, cambia credenciales y tokens de restablecimiento.
  • Reduce lo expuesto a internet. El panel de administración no debería estar abierto al mundo: restríngelo por IP o VPN y añade autenticación reforzada. Menos superficie expuesta es menos margen para el atacante.
  • Valora migrar si tu instalación depende de una rama antigua sin soporte, tal como aconseja CISA.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que no tienen un departamento de seguridad dedicado. Detectamos y cerramos vulnerabilidades antes de que las exploten: auditorías de seguridad y pentesting para localizar este tipo de fallos en tus aplicaciones, hardening de servidores para dejar el panel y los servicios críticos con la mínima exposición, y monitorización y respuesta a incidentes para detectar accesos sospechosos a tiempo.

También nos ocupamos del mantenimiento y la actualización de WordPress, PrestaShop y Joomla, y de la reparación de webs hackeadas cuando el problema ya ha ocurrido. Si tu web o tu API corre sobre Strapi o sobre cualquier otro CMS, lo primero es saber qué versión tienes y qué hay expuesto. Ese diagnóstico es el punto de partida para decidir con criterio y sin alarmismos.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.