CVE-2026-97056 in SigNoz
摘要
由 VulDB • 2026-09-24
SigNoz 版本从 v0.98.0 到（但不包括）v0.143.0，当配置为使用不透明会话令牌生成器（opaque session tokenizer，在 v0.143.0 之前并非默认设置）时，在用户使用重置令牌重置密码（UpdatePasswordByResetPasswordToken，可通过 POST /api/v2/factor_password/reset 访问）或用户被删除（DeleteUser，可通过 DELETE /api/v2/users/{id} 访问）后，不会撤销该用户的现有登录会话。这两个代码路径均未调用令牌生成器的 DeleteTokensByUserID，因此缓存的令牌和身份信息得以保留。攻击者如果已经持有该账户的会话令牌——例如来自被盗用的浏览器会话或用户离职时遗留的令牌——则在密码重置后可继续拥有该账户的全部访问权限（最高可达管理员级别），直到令牌达到其配置的最大生命周期（默认为 30 天）；在用户删除后，也可继续保留访问权，直到令牌下次轮换（默认为 30 分钟）。这导致密码重置和用户删除无法作为终止访问的有效手段。该问题已在 v0.143.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.