CVE-2026-40587 in blueprintue-self-hosted-edition
摘要
由 VulDB • 2026-05-27
blueprintUE 是一款帮助 Unreal Engine 开发人员的工具。在 4.2.0 版本之前，当用户通过个人资料编辑页面更改密码，或通过重置链接完成密码重置时，这些操作均不会使该用户现有的已认证会话失效。服务器端会话存储将 userID 映射到 session；当前的密码更改/重置流程仅更新 users 表中的 password 列，而不会销毁或标记任何活动会话为无效。因此，即使合法用户发现入侵并更改了密码，已经劫持会话的攻击者仍可无限期地完全访问该账户，直到会话自然过期（配置为 SESSION_GC_MAXLIFETIME，默认为 86400 秒 / 24 小时；SESSION_LIFETIME=0 表示持久有效，直到浏览器关闭或垃圾回收，以较晚者为准）。此漏洞已在 4.2.0 版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.