CVE-2026-64857 in tirreno
الملخص
بحسب VulDB • 09/09/2026
يحتوي إطار العمل الأمني tirreno على مشكلة تثبيت الجلسة (session fixation) في الإصدارات السابقة لـ 0.10.0. أثناء المصادقة، تقوم tirreno بمراجعة بيانات اعتماد المستخدم وإنشاء جلسة مصادق عليها، لكنها لا تستدعي `session_regenerate_id()` بعد ذلك. ونتيجة لذلك، لا يتم تدوير معرّف الجلسة عند تسجيل الدخول، بل يبقى كما هو قبل وبعد المصادقة. يمكن لمهاجم قادر على تثبيت معرف جلسة معروف في متصفح الضحية (على سبيل المثال من خلال وضع رجل في الوسط الشبكي، أو عبر ثغرة أخرى مثل تنفيذ البرمجة النصية عبر المواقع XSS أو حقن ملفات تعريف الارتباط في نطاق فرعي) أن يحصل بعد ذلك على الوصول إلى الجلسة المصادق عليها الخاصة بالضحية. تم إصلاح المشكلة في الإصدار v0.10.0. يتم الآن إعادة توليد معرّف الجلسة بنجاح عند المصادقة، ويتم تدمير الجلسة السابقة. لا يوجد حل بديل على مستوى التكوين.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.