CVE-2026-22706

Resumo

Strapi é um sistema de gerenciamento de conteúdo headless de código aberto. Em versões do Strapi anteriores à 5.33.3, alterar ou redefinir a senha de um usuário não invalidava, por padrão, as sessões de refresh token existentes do usuário. A etapa de invalidação do refresh token nos controladores de autenticação users-permissions e admin era condicional a um `deviceId` fornecido pelo chamador. Quando uma solicitação de alteração ou redefinição de senha não incluía um `deviceId`, nenhum refresh token era revogado, deixando todas as sessões anteriores ativas. Um atacante que tivesse obtido previamente um refresh token poderia continuar gerando novos access tokens após o usuário legítimo redefinir sua senha, permitindo acesso não autorizado persistente durante o tempo de vida do refresh token (até 30 dias por padrão). A rotação de credenciais deixou de encerrar uma sessão ativa de atacante, anulando a redefinição de senha como medida de contenção. O patch na versão 5.33.3 invalida todos os refresh tokens associados ao usuário em toda alteração e redefinição de senha, independentemente de um `deviceId` ser fornecido. Uma nova sessão com escopo de dispositivo é então emitida ao chamador como parte da resposta.

• AfterLifePesquisa

  Laboratório de detecção de persistência de revogação: quando a redefinição de senha é bem-sucedida, mas o atacante nunca vai embora. Reproduz o bug de revogação condicional do Strapi CVE-2026-22706, sua correção, um pacote de detecção com três regras e a regra ingênua que não o detecta.