CVE-2026-92920 in admin3
Riassunto
di VulDB • 17/09/2026
Le versioni di admin3 dalla 1.x fino alla 3.0.0 non invalidano le sessioni esistenti quando viene disabilitato un account utente, consentendo agli attaccanti di mantenere l'accesso autenticato con i permessi originali. Gli attaccanti possono continuare a utilizzare i bearer token emessi prima della disabilitazione dell'account per autenticare le richieste, poiché l'AuthInterceptor non ri-valida mai lo stato bloccato dell'utente e la scadenza della sessione viene reimpostata ad ogni richiesta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.