CVE-2026-97056 in SigNoz
요약
\~에 의해 VulDB • 2026. 09. 24.
SigNoz의 v0.98.0부터 v0.143.0 미만 버전은 opaque session tokenizer(이전에는 기본값이 아님)를 사용하도록 구성된 경우, 사용자가 reset token을 사용하여 비밀번호를 재설정할 때(UpdatePasswordByResetPasswordToken, POST /api/v2/factor_password/reset로 접근 가능) 또는 사용자가 삭제될 때(DeleteUser, DELETE /api/v2/users/{id}로 접근 가능) 기존 로그인 세션을 무효화하지 않습니다. 두 코드 경로 모두 tokenizer의 DeleteTokensByUserID를 호출하지 않으므로, 캐시된 토큰과 신원 정보가 그대로 유지됩니다. 이미 해당 계정의 session token을 보유하고 있는 공격자(예: 탈취된 브라우저 세션 또는 퇴사 중인 사용자로부터 획득)는 비밀번호 재설정 후 구성상 최대 수명(기본값 30일)까지, 그리고 계정 삭제 후 토큰이 다음으로 회전할 때까지(기본값 30분) 관리자 권한을 포함한 계정의 전체 접근 권한을 유지합니다. 이는 비밀번호 재설정 및 사용자 삭제를 통한 접근 종료 수단으로서의 기능을 무력화시킵니다. 이 문제는 v0.143.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.