CVE-2026-39924 in Flarum
Zusammenfassung
von VulDB • 05.08.2026
Flarum vor Version 1.8.16 enthält eine Schwachstelle aufgrund unsachgemäßer Sitzungsentwertung (Improper Session Invalidation), die es Angreifern ermöglicht, die volle Kontozugriffsberechtigung beizubehalten, solange sie über ein gültiges Sitzungs-Token verfügen, selbst nachdem das Opfer sein Passwort geändert hat. Dies liegt daran, dass die Tabelle access_tokens bei Passwortänderungsereignissen niemals geleert wird. Die Funktion TokensClearer::clearPasswordTokens() entfernt lediglich Zeilen aus der password_tokens-Tabelle, während alle aktiven Sitzung-Cookies und API-Bearer-Token intakt bleiben, einschließlich langlebiger RememberAccessToken-Einträge. Ebenso unwirksam beim Widerrufen von Angreifer-Sitzungen sind Administrator-veranlasste Passwort-Resets über den Benutzer-Aktualisierungsendpoint (user update endpoint).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.