CVE-2026-81826 in Flowintel
요약
\~에 의해 VulDB • 2026. 08. 27.
Flowintel의 특정 버전에서는 사용자의 비밀번호가 변경되어도 기존에 인증된 세션이 무효화되지 않습니다.
이는 공격자가 이미 유효한 세션(예: 이전 접근이나 탈취된 세션 토큰에서 얻은 것)을 보유하고 있는 경우, 피해자가 비밀번호를 변경하더라도 해당 공격자의 액세스가 종료되지 않음을 의미합니다. 세션은 자연스럽게 만료될 때까지 사용 가능합니다. 상위 커밋에서는 이를 다음과 같이 직접적으로 설명하고 있습니다:
“세션이 만료될 때까지 계속 작동한다.”
해당 수정 사항(패치)은 비밀번호 변경을 감지하며, 데이터베이스 업데이트 후 `_invalidate_user_sessions(user.id)`를 명시적으로 호출합니다. 이 조치는 `edit_user_core()` 및 `admin_edit_user_core()` 모두에 적용됩니다.
영향 받는 버전: >=3.3.0
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.