2026年10月8日に、CISAの既知の脆弱性カタログに追加されました。この脆弱性は、現在積極的に悪用されていることが確認されています。
製品/ベンダー: Strapi Strapi
Strapiには、機密情報を平文で保存している脆弱性があり、管理パネルへのアクセス権を持つ攻撃者が、クエリフィルタを通じて機密のユーザー情報を取得できる可能性があります。影響を受ける製品は、既にサポート終了（EoL）またはサービス終了（EoS）となっている可能性があります。ユーザーは、製品の使用を中止し、またはサポートされているバージョンへの移行を推奨します。この脆弱性は、CVE-2023-22621と組み合わせて、リモートコード実行を達成するために利用される可能性があります。
必要な対応: ベンダーの指示に従って、緩和策を適用し、CISAのBOD 26-04「リスクに基づいたセキュリティアップデートの優先順位付け」（注釈のURLを参照）のガイダンスおよびCISAの「フォレンジック・トリアージ要件」（注釈のURLを参照）への準拠を確保してください。クラウドサービスについては、該当するBOD 26-04のガイダンスに従うか、緩和策が利用できない場合は、製品の使用を中止してください。関係者は、各資産のインターネットへの露出度を評価し、BOD 26-04のパッチ適用ガイドラインを遵守する責任があります。
期限: 2026年10月11日
既知のランサムウェアキャンペーンでの使用状況: 不明