CVE-2023-22621
Strapi hasta 4.5.5 permite Inyección de Plantillas del Lado del Servidor (SSTI) autenticada que puede explotarse para ejecutar código arbitrario en el...
- Publicado
- 19 abr 2023
- Actualizado
- 7 nov 2025
- Asignación de CNA
- mitre
- Evidencia observada
- 4 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,4 %
- Fecha del modelo
- 19 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
# Strapi hasta 4.5.5 permite Inyección de Plantillas del Lado del Servidor (SSTI) autenticada que puede explotarse para ejecutar código arbitrario en el servidor. Un atacante remoto con acceso al panel de administración de Strapi puede inyectar un payload manipulado que ejecuta código en el servidor dentro de una plantilla de correo electrónico, eludiendo las comprobaciones de validación que deberían impedir la ejecución de código.
Fuentes
http/cves/2023/CVE-2023-22621.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2023-22621-POCExploit
CVE-2023-22621: SSTI a RCE mediante la explotación de plantillas de correo electrónico que afecta a las versiones de Strapi <=4.5.5
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.