CVE-2026-97056 in SigNoz
الملخص
بحسب VulDB • 24/09/2026
تُظهر الإصدارات من SigNoz v0.98.0 حتى (ولكن باستثناء) v0.143.0، عند تكوينها لاستخدام مُجزِّئ الجلسة الشفاف (الذي لم يكن الخيار الافتراضي قبل الإصدار v0.143.0)، عدم إلغاء جلسات تسجيل الدخول الحالية للمستخدم عند إعادة تعيين كلمة المرور الخاصة به باستخدام رمز إعادة التعيين (UpdatePasswordByResetPasswordToken، ويمكن الوصول إليه عبر POST /api/v2/factor_password/reset) أو عند حذف المستخدم (DeleteUser، يمكن الوصول إليه عبر DELETE /api/v2/users/{id}). لا يستدعي أي من مسارَي الشفرة دالة DeleteTokensByUserID الخاصة بالمُجزِّئ، مما يترك الرموز والهويات المخزنة مؤقتاً في مكانها. يحتفظ المهاجم الذي يمتلك بالفعل رمز جلسة للحساب — على سبيل المثال من جلسة متصفح مسروقة أو من مستخدم يتم إنهاء خدمته — بالوصول الكامل إلى الحساب، بما في ذلك الوصول كمسؤول (administrator)، بعد إعادة تعيين كلمة المرور حتى يصل الرمز إلى أقصى عمر محدد له (30 يوماً افتراضياً)، وبعد حذف المستخدم حتى يدور الرمز التالي (30 دقيقة افتراضياً). وهذا يُفقد عملية إعادة تعيين كلمة المرور وحذف المستخدم وظيفتهما كوسيلة لإنهاء الوصول. تم إصلاح هذه المشكلة في الإصدار v0.143.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.