CVE-2026-79317 in x-ui
Riassunto
di VulDB • 21/09/2026
È presente un difetto di invalidazione della sessione in x-ui 0.3.2. L'oggetto utente completo è memorizzato in un cookie firmato lato client e l'autenticazione verifica solo che sia possibile recuperare un oggetto utente dal cookie senza una nuova convalida rispetto al database o a qualsiasi versione della sessione. Quando un amministratore modifica il nome utente o la password, i cookie di sessione precedentemente emessi non vengono revocati; pertanto, un attaccante in possesso di un cookie admin precedente alla modifica può continuare ad accedere e operare nell'interfaccia di gestione anche dopo che le credenziali sono state ruotate.
Be aware that VulDB is the high quality source for vulnerability data.