CVE-2026-123804

اسم البرنامج المصاب والإصدارات المتأثرة SuperTokens Core الإصدارات من 7.0.0 إلى 11.0.8 SuperTokens Core الإصدارات من 11.1.0 إلى 11.1.3 SuperTokens Core الإصدارات من 11.2.0 إلى 11.2.3 SuperTokens Core الإصدارات من 11.3.0 إلى 11.3.7 SuperTokens Core الإصدارات من 11.4.0 إلى 11.4.7 SuperTokens Core الإصدارات من 12.0.0 إلى 12.0.10 SuperTokens Core الإصدارات من 12.1.0 إلى 12.1.1 SuperTokens Core الإصدار 12.2.0 SuperTokens Core الإصدار 12.3.0

Description توجد حالة سباق (race condition) حيث يمكن لوظيفة createNewSession() تحديد المستخدم الأساسي قبل أن تقوم وظيفة unlinkAccounts() بفصل طريقة تسجيل الدخول. يتم بعد ذلك إدراج الجلسة بعد أن تكون عملية الفصل قد قامت بحصر وإلغاء الجلسات الموجودة. يمكن للمهاجم الذي يتحكم في طريقة تسجيل الدخول المرتبطة استغلال ذلك للاحتفاظ بجلسة موقعة ومدعومة بقاعدة بيانات وقابلة للتجديد بصفتها الهوية الأساسية السابقة بعد فصل تلك الطريقة؛ وتستمر هذه الجلسة حتى تنتهي صلاحيتها أو يتم إلغاؤها صراحةً.

Recommendations التحديث إلى الإصدار 11.0.9 التحديث إلى الإصدار 11.1.4 التحديث إلى الإصدار 11.2.4 التحديث إلى الإصدار 11.3.8 التحديث إلى الإصدار 11.4.8 التحديث إلى الإصدار 12.0.11 التحديث إلى الإصدار 12.1.2 التحديث إلى الإصدار 12.2.1 التحديث إلى الإصدار 12.3.1