CVE-2026-22706

Resumen

Strapi es un sistema de gestión de contenido headless de código abierto. En las versiones de Strapi anteriores a la 5.33.3, cambiar o restablecer la contraseña de un usuario no invalidaba por defecto las sesiones de refresh-token existentes del usuario. El paso de invalidación del refresh-token en los controladores de autenticación users-permissions y admin estaba condicionado a un `deviceId` proporcionado por el llamador. Cuando una solicitud de cambio o restablecimiento de contraseña no incluía un `deviceId`, no se revocaba ningún refresh token, dejando activa toda sesión previa. Un atacante que hubiera obtenido previamente un refresh token podía seguir generando nuevos access tokens después de que el usuario legítimo restableciera su contraseña, lo que permitía un acceso no autorizado persistente durante la vida útil del refresh token (hasta 30 días por defecto). La rotación de credenciales ya no terminaba con una sesión activa del atacante, lo que anulaba el restablecimiento de contraseña como medida de contención. El parche en la versión 5.33.3 invalida todos los refresh tokens asociados al usuario en cada cambio y restablecimiento de contraseña, independientemente de si se proporciona un `deviceId`. A continuación, se emite al llamador una nueva sesión con alcance de dispositivo como parte de la respuesta.

Fuentes

• AfterLifeInvestigación

  Laboratorio de detección de persistencia de revocación: cuando el restablecimiento de contraseña tiene éxito pero el atacante nunca se va. Reproduce el fallo de revocación condicional de Strapi CVE-2026-22706, su corrección, un paquete de detección de tres reglas y la regla ingenua que no lo detecta.