Strapi : une faille de 2023 exploitée, mettre à jour les CMS Strapi v3 et v4 anciens

En bref

• Le fait. Le 8 octobre 2026, la CISA a ajouté au catalogue KEV la faille CVE-2023-22894 de Strapi, un CMS « headless » écrit en Node.js. Elle permet à un attaquant ayant accès au panneau d'administration de déduire des informations sensibles sur les utilisateurs, jusqu'aux hachages de mots de passe et jetons de réinitialisation s'il dispose d'un compte super administrateur. Strapi l'a corrigée en 2023 dans la version 4.8.0, en même temps que CVE-2023-22621, une injection de modèle côté serveur. Source : divulgation de Strapi.
• Êtes-vous concerné ? Si votre site, votre application mobile ou votre agence web s'appuie sur Strapi en version 3 ou en version 4 antérieure à 4.8.0. Les versions récentes (4.8.0 et suivantes, branche 5) ne sont pas concernées par ces deux CVE.
• Quoi faire :
  1. demandez à votre agence ou à votre développeur la version de Strapi utilisée ;
  2. faites mettre à jour vers une version maintenue (au minimum 4.8.0) ; Strapi v3 n'est plus maintenu et doit être migré ;
  3. après mise à jour, faites renouveler les mots de passe administrateur et les jetons d'API.
• Urgence : élevée pour les instances anciennes exposées sur Internet. La CISA signale une exploitation active.

Détail technique

Identifiants. CVE-2023-22894 (GHSA-jjqf-j4w7-92w8) : fuite d'informations sensibles via le filtre de requêtes, exploitable depuis le panneau d'administration, de 3.2.1 à 4.8.0 exclue selon l'éditeur. CVE-2023-22621 (GHSA-2h87-4q2w-v4hf) : injection de modèle côté serveur dans les modèles d'e-mails, menant à une exécution de code pour un attaquant ayant accès au panneau d'administration, avant 4.5.6. Seule CVE-2023-22894 est inscrite au KEV à la date du billet. Pas d'alerte ni d'avis CERT-FR identifiés pour cet ajout au KEV.

Produits et versions.

• Strapi (CVE-2023-22894, inscrite au KEV) : versions affectées 3.2.1 à 4.8.0 exclue ; version corrigée : 4.8.0 ou ultérieure.
• Strapi (CVE-2023-22621, même série de correctifs, non inscrite au KEV) : versions affectées antérieures à 4.5.6 ; version corrigée : 4.5.6 ou ultérieure.

KEV. Oui pour CVE-2023-22894 : ajoutée au catalogue KEV de la CISA le 8 octobre 2026. CVE-2023-22621 n'y figure pas.

Exploitation active. Oui pour CVE-2023-22894, selon la CISA (inscription au KEV).

IOC publics. Aucun indicateur publié par l'éditeur à notre connaissance.

Remédiation.

• Mettre à jour Strapi en 4.8.0 ou ultérieure, idéalement vers la dernière version maintenue.
• Migrer les projets Strapi v3, qui ne reçoivent plus de correctifs.
• Renouveler les mots de passe administrateur, les jetons d'API et le secret JWT après mise à jour.
• Ne pas exposer le panneau d'administration de Strapi à tout Internet lorsque ce n'est pas nécessaire.