CVE-2026-123799

اسم البرنامج المصاب والإصدارات المتأثرة SuperTokens Core الإصدارات من 11.0.0 إلى 11.0.8 SuperTokens Core الإصدارات من 11.1.0 إلى 11.1.3 SuperTokens Core الإصدارات من 11.2.0 إلى 11.2.3 SuperTokens Core الإصدارات من 11.3.0 إلى 11.3.7 SuperTokens Core الإصدارات من 11.4.0 إلى 11.4.7 SuperTokens Core الإصدارات من 12.0.0 إلى 12.0.10 SuperTokens Core الإصدارات من 12.1.0 إلى 12.1.1

الوصف تتعامل الدالة isValidUserSession في لوحة التحكم مع أي صف جلسة مخزن على أنه صالح لأنها تفشل في مقارنة DashboardSessionInfo.expiry بالوقت الحالي. بالإضافة إلى ذلك، تقوم الدالة getSessionInfoWithSessionId بتحديد البيانات حسب التطبيق ومعرف الجلسة بدون شرط انتهاء الصلاحية، مما يجعل عملية التنظيف DeleteExpiredDashboardSessions هي الوسيلة الوحيدة لفرض انتهاء الصلاحية. يمكن للمهاجم الذي يحصل على جلسة مسؤول لوحة تحكم الاستمرار في استخدام نقطة النهاية 'POST /recipe/dashboard/session/verify' بعد انتهاء صلاحية الجلسة البالغة 30 يومًا، بشرط عدم إزالة صف الجلسة. قد تؤدي عمليات إعادة تشغيل Core المتكررة إلى منع تشغيل عملية التنظيف التي تتم كل 12 ساعة، مما يسمح للجلسة القديمة بالحفاظ على وصول كامل للقراءة والكتابة إلى لوحة التحكم. لا يوفر هذا الخلل طريقة لتخمين أو الحصول على معرف الجلسة العشوائي.

التوصيات التحديث إلى الإصدار 11.0.9 التحديث إلى الإصدار 11.1.4 التحديث إلى الإصدار 11.2.4 التحديث إلى الإصدار 11.3.8 التحديث إلى الإصدار 11.4.8 التحديث إلى الإصدار 12.0.11 التحديث إلى الإصدار 12.1.2