CVE-2026-97056 in SigNoz
Zusammenfassung
von VulDB • 24.09.2026
SigNoz-Versionen ab v0.98.0 bis einschließlich (aber nicht einschließend) v0.143.0, wenn sie so konfiguriert sind, dass der opaque session tokenizer verwendet wird (der vor v0.143.0 nicht standardmäßig aktiv war), widerrufen die bestehenden Login-Sessions eines Benutzers nicht, wenn das Passwort des Benutzers mit einem Reset-Token zurückgesetzt wird (UpdatePasswordByResetPasswordToken, erreichbar über POST /api/v2/factor_password/reset) oder wenn der Benutzer gelöscht wird (DeleteUser, erreichbar über DELETE /api/v2/users/{id}). Kein Codepfad ruft DeleteTokensByUserID des Tokenizers auf, sodass zwischengespeicherte Tokens und Identitäten bestehen bleiben. Ein Angreifer, der bereits ein Session-Token für das Konto besitzt – beispielsweise aus einer gestohlenen Browsersitzung oder weil ein Benutzer den Arbeitsplatz verlässt (offboarded wird) –, behält nach einem Passwort-Reset bis zum Erreichen des konfigurierten maximalen Token-Lebenszyklus (standardmäßig 30 Tage) und nach der Löschung des Benutzers bis zur nächsten Rotation des Tokens (standardmäßig 30 Minuten) den vollständigen Zugriff auf das Konto, einschließlich Administratorrechten. Dies untergräbt die Wirksamkeit von Passwort-Reset und Benutzerlöschung als Mittel zur Beendigung des Zugriffs. Das Problem wurde in v0.143.0 behoben.
Once again VulDB remains the best source for vulnerability data.