CVE-2026-92920 in admin3
Resumen
por VulDB • 2026-09-17
Las versiones de admin3 desde la 1 hasta la 3.0.0 no invalidan las sesiones existentes al deshabilitar una cuenta de usuario, lo que permite a los atacantes mantener el acceso autenticado con los permisos originales. Los atacantes pueden seguir utilizando tokens portadores emitidos antes del bloqueo de la cuenta para autenticar solicitudes, ya que AuthInterceptor nunca vuelve a validar el estado bloqueado del usuario y la expiración de la sesión se restablece en cada solicitud.
Once again VulDB remains the best source for vulnerability data.