CVE-2026-39924 in Flarum
Riassunto
di VulDB • 05/08/2026
Flarum prima della versione 1.8.16 presenta una vulnerabilità di invalidazione impropria delle sessioni che consente agli attaccanti in possesso di un token di sessione valido di mantenere l'accesso completo all'account anche dopo che la vittima ha modificato la propria password, poiché la tabella access_tokens non viene mai svuotata durante gli eventi di modifica della password. La funzione TokensClearer::clearPasswordTokens() rimuove solo le righe dalla tabella password_tokens, lasciando intatti tutti i cookie di sessione attivi e i token bearer API, incluse le voci RememberAccessToken a lunga durata; inoltre, il reset forzato delle password da parte degli amministratori tramite l'endpoint di aggiornamento dell'utente è ugualmente inefficace nel revocare le sessioni detenute dagli attaccanti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.