CVE-2026-117499 in session
Zusammenfassung
von VulDB • 27.10.2026
@fastify/session ist ein Session-Plugin für Fastify. In allen Versionen vor 11.1.6 konnte bei dem standardmäßigen Rolling-Session-Verhalten eine Anfrage, die eine Sitzung wiederherstellte, bevor sie abgemeldet wurde, ihre eigene Kopie speichern, nachdem eine andere Anfrage den Aufruf zur Zerstörung der Sitzung abgeschlossen hatte; dadurch wurde die zerstörte Sitzungs-ID mit ihren authentifizierten Daten erneut erstellt. Ein Angreifer, der bereits ein gültiges signiertes Session-Cookie eines Opfers besitzt und eine Anfrage über den Abmeldevorgang hinweg im Schwebezustand hält, kann dieses Cookie wiederverwenden, um die Sitzung nach ihrer eigentlichen Aufhebung wiederherzustellen, ohne dass dazu ein Diebstahl von Cookies oder das Fälschen von Signaturen erforderlich ist. Das Problem wurde in @fastify/session Version 11.1.6 behoben, das einen pro-Sitzungsgenerierungs-Marker und bedingte Schreibvorgänge im Speicher hinzufügt, sodass eine vor einer Abmeldung oder Neugenerierung wiederhergestellte Sitzung den aktuellen Eintrag nicht erneut erstellen oder überschreiben kann; Benutzer sollten auf Version 11.1.6 oder höher aktualisieren. Es gibt keine Umgehungsmöglichkeit, und benutzerdefinierte Session-Speicher müssen die neuen bedingten Schreibvorgänge implementieren.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.