CVE-2026-22706

ملخص

Strapi هو نظام إدارة محتوى مفتوح المصدر بلا واجهة (headless CMS). في إصدارات Strapi السابقة للإصدار 5.33.3، لم يكن تغيير كلمة مرور المستخدم أو إعادة تعيينها يُبطل جلسات refresh-token الحالية للمستخدم افتراضيًا. كانت خطوة إبطال refresh-token في وحدات التحكم الخاصة بالمصادقة `users-permissions` و`admin` مشروطة بوجود `deviceId` يُمرّره المستدعي. عندما لم يتضمن طلب تغيير كلمة المرور أو إعادة تعيينها قيمة `deviceId`، لم يتم إبطال أي من refresh tokens، مما أبقى كل جلسة سابقة نشطة. كان بإمكان المهاجم الذي حصل مسبقًا على refresh token أن يستمر في إنشاء access tokens جديدة بعد أن يعيد المستخدم الشرعي تعيين كلمة مروره، مما يتيح وصولًا غير مصرح به مستمرًا طوال عمر refresh token (حتى 30 يومًا افتراضيًا). لم يعد تدوير بيانات الاعتماد يُنهي جلسة المهاجم النشطة، مما أبطل إعادة تعيين كلمة المرور كإجراء احتوائي. تُبطل الترقعة في الإصدار 5.33.3 جميع refresh tokens المرتبطة بالمستخدم عند كل تغيير لكلمة المرور وإعادة تعيين لها، بغض النظر عما إذا تم تمرير `deviceId`. ثم تُصدر جلسة جديدة مرتبطة بالجهاز للمستدعي كجزء من الاستجابة.

• AfterLifeالبحث

  مختبر كشف استمرارية الإبطال: عندما تنجح إعادة تعيين كلمة المرور لكن المهاجم لا يغادر أبدًا. يعيد إنتاج ثغرة الإبطال الشرطي Strapi CVE-2026-22706، وإصلاحها، وحزمة كشف من ثلاث قواعد، والقاعدة الساذجة التي تفوتها.