Strapi is vulnerable to Insufficient Session Expiration
Strapi uses JSON Web Tokens (JWT) for authentication. After logout or account deactivation, the JWT is not invalidated, which allows an attacker who has stolen or intercepted the token to freely reuse it until its expiration date (which is set to 30 days by default, but can be changed). The existence of /admin/renew-token endpoint allows anyone to renew near-expiration tokens indefinitely, further increasing the impact of this attack. This issue has been fixed in version 5.24.1.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @strapi/strapi | < 5.24.1 | 5.24.1 |
Odnośniki
- Wektor CVSS
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-613- Platforma
- npm
- Paczka
@strapi/strapi- Ujawniono
- 16.10.2025
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-4r8w-3jww-m2rp - CC BY 4.0
Historia podatności: @strapi/strapi
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 11
- Pierwsza → ostatnia
- 05.2022 05.2026
- Bez poprawki
- 2
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Krytyczna 1
- Wysoka 7
- Średnia 3
Ujawnienia w latach
- 2022: 5
- 2023: 3
- 2024: 1
- 2025: 1
- 2026: 1
-
Strapi is vulnerable to Insufficient Session Expiration ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.