CVE-2026-97056 in SigNoz
要約
〜によって VulDB • 2026年09月24日
SigNozのv0.98.0から（v0.143.0を除く）までのバージョンでは、opaque session tokenizerを使用するように構成されている場合（v0.143.0以前はデフォルトではありませんでした）、ユーザーのパスワードがリセットトークンを使用してリセットされた際（UpdatePasswordByResetPasswordToken、POST /api/v2/factor_password/resetでアクセス可能）や、ユーザーが削除された際（DeleteUser、DELETE /api/v2/users/{id}でアクセス可能）に、既存のログインセッションが無効化されません。どちらの実装パスでもtokenizerのDeleteTokensByUserIDが呼び出されないため、キャッシュされたトークンとアイデンティティが残ったままになります。アカウントに対してすでにセッショントークンを保有している攻撃者（例えば、盗まれたブラウザセッションやユーザーの退職プロセスから取得したトークンなど）は、パスワードリセット後には構成済みの最大有効期間（デフォルトで30日）まで、またユーザー削除後は次のトークンのローテーション時（デフォルトで30分）まで、管理者権限を含むアカウントへの完全なアクセスを維持します。これにより、パスワードのリセットやユーザーの削除がアクセス終了手段として機能しなくなります。この問題はv0.143.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.