ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
MEDIUMCVSS 4.9TLP:CLEAR
UPCYBER-ADV-2026-061
10 ตุลาคม 256926 ครั้ง

แจ้งเตือนช่องโหว่ความปลอดภัยในการจัดเก็บข้อมูลสำคัญแบบข้อความปกติใน Strapi (CVE-2023-22894)

CISA KEV: Strapi Cleartext Storage of Sensitive Information Vulnerability in Strapi Strapi (CVE-2023-22894)

4.9
CVSS v3.x Score
MEDIUM SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2023-22894CWE-312Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2023-22894 ในระบบ Strapi เวอร์ชัน 4.5.5 และก่อนหน้า ซึ่งอนุญาตให้ผู้โจมตีที่มีสิทธิ์เข้าถึงแผงควบคุมผู้ดูแลระบบ (Admin Panel) สามารถใช้ตัวกรองคิวรี (Query Filter) เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้งานได้ ช่องโหว่นี้มีความเสี่ยงสูงเนื่องจากอาจถูกนำไปใช้ร่วมกับช่องโหว่อื่นเพื่อยกระดับสิทธิ์หรือโจมตีระบบในขั้นสูงต่อไป

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
Strapi Strapi
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดต Strapi เป็นเวอร์ชันที่สูงกว่า 4.5.5 หรืออัปเดตเป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขจากผู้พัฒนาอย่างเป็นทางการ
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2023-22894)

ช่องโหว่นี้จัดอยู่ในประเภท CWE-312 (Cleartext Storage of Sensitive Information) ซึ่งเกิดขึ้นในระบบ Strapi จนถึงเวอร์ชัน 4.5.5 โดยมีกลไกการโจมตีดังนี้:

  • ช่องทางการโจมตี: ผู้โจมตีจำเป็นต้องมีสิทธิ์เข้าถึงแผงควบคุมผู้ดูแลระบบ (Admin Panel) เป็นเบื้องต้น
  • กลไกการแสวงหาประโยชน์: ผู้โจมตีสามารถใช้ตัวกรองการสืบค้นข้อมูล (Query Filter) เพื่อกรองข้อมูลผู้ใช้ตามคอลัมน์ที่มีข้อมูลสำคัญ และอนุญาตให้คาดการณ์ค่าจากผลลัพธ์ของ API ได้
  • ผลกระทบตามระดับสิทธิ์:
    • หากผู้โจมตีมีสิทธิ์เป็น Super Admin จะสามารถเข้าถึงแฮชรหัสผ่าน (Password Hash) และโทเค็นการรีเซ็ตรหัสผ่านของผู้ใช้งานทั้งหมดในระบบได้
    • หากผู้โจมตีมีสิทธิ์ระดับแอดมินที่มีสิทธิ์เข้าถึงชื่อผู้ใช้และอีเมลของ API Users ที่มีสิทธิ์น้อยกว่า (เช่น Editor หรือ Author) จะสามารถเข้าถึงข้อมูลสำคัญของ API Users ทั้งหมดได้
  • ความเสี่ยงในการเชื่อมโยงการโจมตี: ช่องโหว่นี้สามารถถูกนำไปใช้ร่วมกับช่องโหว่รหัส CVE-2023-22621 เพื่อบรรลุการสั่งรันคำสั่งจากระยะไกล (Remote Code Execution - RCE) บนระบบเป้าหมายได้
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางการปฏิบัติและบรรเทาผลกระทบ

  • อัปเดตซอฟต์แวร์: ดำเนินการอัปเดตระบบ Strapi ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่จากผู้พัฒนาอย่างเร่งด่วน
  • ตรวจสอบสิทธิ์การใช้งาน (Access Control): จำกัดและตรวจสอบสิทธิ์การเข้าถึงแผงควบคุมผู้ดูแลระบบ (Admin Panel) อย่างเข้มงวด โดยยึดหลักการให้สิทธิ์น้อยที่สุด (Principle of Least Privilege)
  • การตรวจสอบความปลอดภัย (Forensics & Monitoring): เฝ้าระวังและตรวจสอบบันทึกการเข้าใช้งาน (Log) ของระบบแผงควบคุมผู้ดูแลระบบ เพื่อค้นหาความผิดปกติในการสืบค้นข้อมูลผ่าน Query Filter
  • มาตรการตามคำแนะนำของหน่วยงานสากล: ปฏิบัติตามแนวทางของ CISA BOD 26-04 ในการประเมินความเสี่ยงและจัดการอัปเดตแพตช์ความปลอดภัย หากผลิตภัณฑ์สิ้นสุดระยะเวลาการสนับสนุน (EoL/EoS) ให้พิจารณาย้ายไปใช้เวอร์ชันที่รองรับหรือยุติการใช้งานทันที
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

CRITICAL 9.11 พ.ย. 2569

แจ้งเตือน! Veeam ออกอัปเดตแก้ไขช่องโหว่ Critical เสี่ยงข้ามการตรวจสอบสิทธิ์และแก้ไขข้อมูล

HIGH 7.030 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Ivanti Connect Secure (CVE-2026-111357)

HIGH 30 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยในการสร้างหมายเลขหรือตัวระบุที่คาดเดาได้ใน Ivanti Connect Secure (CVE-2026-118527)

CRITICAL 29 ต.ค. 2569

Google และ Mozilla อัปเดต Chrome และ Firefox แก้ช่องโหว่รวมกว่า 200 รายการ