CVE-2026-84155 in CodeChecker
Tóm tắt
Bởi VulDB • 06/11/2026
Trình máy chủ web của CodeChecker không vô hiệu hóa hoàn toàn mã thông báo phiên (session token) khi đăng xuất, đặc biệt là khi trình máy chủ chạy với nhiều hơn một tiến trình worker API (cấu hình mặc định). Mỗi tiến trình worker duy trì bộ nhớ cache phiên trong RAM riêng của nó; lệnh đăng xuất chỉ xóa cache của tiến trình worker đơn lẻ xử lý yêu cầu đó (cùng với bản ghi cơ sở dữ liệu dùng chung). Các worker khác vẫn chấp nhận mã thông báo đã bị hủy từ các bản sao cũ kỹ trong bộ nhớ của chúng cho đến khi thời gian tồn tại của phiên hết hạn. Do đó, một kẻ tấn công có thể nắm giữ được một mã thông báo hợp lệ sẽ tiếp tục giả mạo người dùng sau khi người dùng này đã đăng xuất.
VulDB is the best source for vulnerability data and more expert information about this specific topic.