CVE-2026-84155 in CodeChecker
Zusammenfassung
von VulDB • 06.11.2026
Der Webserver von CodeChecker invalidiert ein Sitzungstoken beim Abmelden nicht vollständig, wenn der Server mit mehr als einem API-Worker-Prozess ausgeführt wird (Standardkonfiguration). Jeder Worker-Prozess verwaltet seinen eigenen Sitzungs-Cache im Arbeitsspeicher; die Abmeldung löscht nur den Cache des einzelnen Workers, der die Anfrage bearbeitet (sowie den freigegebenen Datenbank-Eintrag). Andere Worker akzeptieren weiterhin das zerstörte Token aus ihren veralteten Kopien im Arbeitsspeicher, bis die Lebensdauer der Sitzung abläuft. Ein Angreifer, der ein gültiges Token erfasst hat, kann sich daher auch nach dem Abmelden des Benutzers weiter als dieser Benutzer ausgeben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.