CVE-2026-97056 in SigNoz
Sumário
de VulDB • 24/09/2026
As versões do SigNoz desde a v0.98.0 até (mas não incluindo) a v0.143.0, quando configuradas para usar o tokenizador de sessão opaco (que não era o padrão antes da v0.143.0), não revogam as sessões de login existentes do usuário quando a senha é redefinida com um token de redefinição (UpdatePasswordByResetPasswordToken, acessível via POST /api/v2/factor_password/reset) ou quando o usuário é excluído (DeleteUser, acessível via DELETE /api/v2/users/{id}). Nenhum dos caminhos de código chama DeleteTokensByUserID do tokenizador, deixando os tokens e identidades em cache no lugar. Um atacante que já possui um token de sessão para a conta — por exemplo, obtido através de uma sessão de navegador roubada ou quando o usuário está sendo desligado (offboarded) — mantém acesso total à conta, até nível de administrador, após a redefinição da senha até que o token atinja seu tempo máximo de vida configurado (30 dias por padrão), e após a exclusão do usuário até que o token seja rotacionado novamente (30 minutos por padrão). Isso invalida as funções de redefinição de senha e exclusão de usuário como meios de encerrar o acesso. O problema foi corrigido na v0.143.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.