CVE-2026-22706

总结

Strapi 是一个开源的无头内容管理系统。在 5.33.3 之前的 Strapi 版本中，更改或重置用户密码默认不会使用户现有的刷新令牌会话失效。users-permissions 和 admin 身份验证控制器中的刷新令牌失效步骤取决于调用方提供的 `deviceId`。当密码更改或重置请求未包含 `deviceId` 时，不会撤销任何刷新令牌，从而使所有先前的会话保持活跃。此前已获取刷新令牌的攻击者可以在合法用户重置密码后继续生成新的访问令牌，从而在刷新令牌的有效期内（默认最长 30 天）实现持久的未授权访问。轮换凭据不再能终止活跃的攻击者会话，使密码重置作为遏制措施失效。5.33.3 版本中的补丁在每次密码更改和密码重置时都会使用户关联的所有刷新令牌失效，无论是否提供了 `deviceId`。随后，作为响应的一部分，会向调用方颁发一个新的设备范围会话。

• AfterLife研究

  撤销持久化检测实验：当密码重置成功但攻击者从未离开时。复现 Strapi CVE-2026-22706 条件撤销漏洞、其修复方案、一个三规则检测包，以及会漏报该漏洞的朴素规则。