CVE-2026-22706

概要

Strapiはオープンソースのヘッドレスコンテンツ管理システムです。Strapi 5.33.3より前のバージョンでは、ユーザーのパスワードを変更またはリセットしても、デフォルトではユーザーの既存のリフレッシュトークンセッションは無効化されませんでした。users-permissionsおよびadmin認証コントローラーにおけるリフレッシュトークン無効化ステップは、呼び出し元が指定する`deviceId`に依存していました。パスワード変更またはリセット要求に`deviceId`が含まれていない場合、リフレッシュトークンは一切失効されず、以前のすべてのセッションが有効なまま残りました。以前にリフレッシュトークンを入手していた攻撃者は、正規ユーザーがパスワードをリセットした後も新しいアクセストークンを発行し続けることができ、リフレッシュトークンの有効期間中（デフォルトでは最大30日間）にわたって永続的な不正アクセスが可能でした。資格情報のローテーションによってアクティブな攻撃者セッションが終了しなくなり、封じ込め手段としてのパスワードリセットが無効化されました。バージョン5.33.3のパッチでは、`deviceId`が指定されているかどうかに関係なく、すべてのパスワード変更およびパスワードリセット時に、そのユーザーに関連付けられたすべてのリフレッシュトークンを無効化します。その後、レスポンスの一部として、呼び出し元に対して新しいデバイススコープのセッションが発行されます。

• AfterLife研究

  失効の永続化検出ラボ：パスワードリセットは成功したのに攻撃者が去らない場合。Strapi CVE-2026-22706 の条件付き失効バグ、その修正、3つのルールからなる検出パック、そしてそれを見逃す素朴なルールを再現します。