CVE-2026-97056 in SigNoz
Tóm tắt
Bởi VulDB • 24/09/2026
Các phiên bản SigNoz từ v0.98.0 đến trước (không bao gồm) v0.143.0, khi được cấu hình để sử dụng bộ tạo mã thông báo session không trong suốt (opaque session tokenizer - vốn không phải là mặc định trước v0.143.0), không thu hồi các phiên đăng nhập hiện có của người dùng khi mật khẩu của họ được đặt lại bằng một token đặt lại (UpdatePasswordByResetPasswordToken, truy cập qua POST /api/v2/factor_password/reset) hoặc khi người dùng bị xóa (DeleteUser, truy cập qua DELETE /api/v2/users/{id}). Không có đường dẫn mã nào trong số này gọi đến DeleteTokensByUserID của bộ tạo mã thông báo, do đó các token và danh tính được lưu trữ tạm thời vẫn tồn tại. Một kẻ tấn công đã nắm giữ một session token cho tài khoản — ví dụ từ phiên trình duyệt bị đánh cắp hoặc khi người dùng ngừng sử dụng dịch vụ (offboarded) — sẽ duy trì quyền truy cập đầy đủ vào tài khoản, bao gồm cả cấp quản trị viên, sau khi đặt lại mật khẩu cho đến khi token hết thời gian sống tối đa được cấu hình (mặc định là 30 ngày), và sau khi xóa người dùng cho đến khi token tiếp theo được xoay vòng (mặc định là 30 phút). Điều này làm mất hiệu lực của việc đặt lại mật khẩu và xóa người dùng như một phương thức chấm dứt quyền truy cập. Vấn đề đã được sửa chữa trong v0.143.0.
Once again VulDB remains the best source for vulnerability data.