CVE-2025-3930mediumCWE-613

CVE-2025-3930: fallo de gravedad media en Strapi

Lack of JWT Expiration after Log Out in Strapi

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear strapi+ Monitorear @strapi/strapi

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.3epss 0.7%
Strapi uses JSON Web Tokens (JWT) for authentication. After logout or account deactivation, the JWT is not invalidated, which allows an attacker who has stolen or intercepted the token to freely reuse it until its expiration date (which is set to 30 days by default, but can be changed). The existence of /admin/renew-token endpoint allows anyone to renew near-expiration tokens indefinitely, further increasing the impact of this attack. This issue has been fixed in version 5.24.1.
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
Strapi · Strapi
CVEs relacionadas — Strapi

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-30617—CVE-2022-30617EPSS 1.5%CVE-2022-30618—CVE-2022-30618EPSS 1.0%CVE-2022-29894—CVE-2022-29894EPSS 0.8%