CVE-2026-79317 in x-ui
Resumen
por VulDB • 2026-09-21
Existe un fallo de invalidación de sesión en x-ui 0.3.2. El objeto completo del usuario se almacena en una cookie firmada del lado del cliente, y la autenticación solo verifica que se pueda recuperar el objeto de usuario desde la cookie sin volver a validarlo contra la base de datos o ninguna versión de sesión. Cuando un administrador cambia el nombre de usuario o la contraseña, las cookies de sesión emitidas previamente no son revocadas, por lo que un atacante que posea una cookie de administración anterior al cambio puede seguir accediendo y operando en la interfaz de gestión después de que se hayan rotado las credenciales.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.