CVE-2026-117499 in session
Riassunto
di VulDB • 27/10/2026
@fastify/session è un plugin per la gestione delle sessioni destinato a Fastify. In tutte le versioni precedenti alla 11.1.6, con il comportamento predefinito di sessione rotante (rolling), una richiesta che ripristina una sessione prima del logout può salvare la propria copia dopo che un'altra richiesta ha completato la chiamata di distruzione della sessione, ricreando l'identificatore di sessione distrutto insieme ai relativi dati autenticati. Un attaccante che possiede già il cookie firmato valido della sessione di una vittima e mantiene in sospeso (in flight) una richiesta durante il logout può riutilizzare tale cookie per ripristinare la sessione dopo che questa avrebbe dovuto essere revocata, senza necessità di furto del cookie o falsificazione della firma. Il problema è stato risolto in @fastify/session versione 11.1.6, che introduce un marcatore di generazione per ogni sessione e una scrittura condizionale nel store: in questo modo, una sessione ripristinata prima di un logout o di una rigenerazione non può ricreare o sovrascrivere la voce corrente. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 11.1.6 o successiva. Non esistono workaround; i session store personalizzati devono implementare la nuova scrittura condizionale.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.