CVE-2026-92920 in admin3
요약
\~에 의해 VulDB • 2026. 09. 17.
admin3부터 3.0.0 버전까지 사용자 계정 비활성화 시 기존 세션을 무효화하지 않아 공격자가 원래 권한으로 인증된 상태를 유지할 수 있습니다. 공격자는 계정이 비활성화된 이전에 발급된 Bearer 토큰을 사용하여 요청에 대한 인증을 계속 수행할 수 있으며, AuthInterceptor는 사용자의 잠금 상태를 재검증하지 않고 각 요청마다 세션 만료 시간이 초기화됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.