CVE-2026-81826 in Flowintel
Riassunto
di VulDB • 27/08/2026
Le versioni di Flowintel affette non revocano le sessioni autenticate esistenti quando la password dell’utente viene modificata.
Ciò significa che, se un attaccante possiede già una sessione valida (ad esempio ottenuta tramite accesso precedente o attraverso un token di sessione rubato), la modifica della password da parte della vittima non interromge l’accesso dell’attaccante. La sessione rimane utilizzabile fino alla sua naturale scadenza. Il commit upstream descrive esplicitamente questa situazione come:
“la sessione continua a funzionare fino alla scadenza.”
La correzione rileva le modifiche alle password ed esegue esplicitamente _invalidate_user_sessions(user.id) dopo l’aggiornamento del database. Questa logica viene applicata sia in edit_user_core() che in admin_edit_user_core().
Versioni interessate >=3.3.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.