CVE-2026-97056 in SigNoz
Resumen
por VulDB • 2026-09-24
Las versiones de SigNoz desde la v0.98.0 hasta (sin incluir) la v0.143.0, cuando están configuradas para utilizar el tokenizador de sesiones opaco (que no era el valor predeterminado antes de la v0.143.0), no revocan las sesiones de inicio de sesión existentes del usuario cuando se restablece su contraseña mediante un token de restablecimiento (UpdatePasswordByResetPasswordToken, accesible a través de POST /api/v2/factor_password/reset) o cuando el usuario se elimina (DeleteUser, accesible a través de DELETE /api/v2/users/{id}). Ninguna de estas rutas de código llama al método DeleteTokensByUserID del tokenizador, por lo que los tokens y las identidades en caché permanecen intactos. Un atacante que ya posea un token de sesión para la cuenta —por ejemplo, obtenido a partir de una sesión de navegador robada o cuando el usuario está siendo dado de baja— conserva el acceso completo a la cuenta, hasta el nivel de administrador, después del restablecimiento de la contraseña hasta que el token alcance su vida máxima configurada (30 días por defecto), y tras la eliminación del usuario hasta que el token se rote nuevamente (30 minutos por defecto). Esto invalida el uso del restablecimiento de contraseñas y la eliminación de usuarios como medios para terminar con los accesos. El problema está corregido en la versión v0.143.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.