PT-2026-40835 · Strapi · Strapi
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Strapi الأقدم من 5.33.3
الوصف
لا يؤدي تغيير كلمة مرور المستخدم أو إعادة تعيينها إلى إبطال صلاحية جلسات عمل رموز التحديث الحالية بشكل افتراضي. في وحدات التحكم الخاصة بأذونات المستخدمين ومصادقة المسؤولين، تعتمد عملية الإبطال على قيمة
deviceId التي يزودها المستدعي. إذا تم تقديم طلب لتغيير كلمة المرور أو إعادة تعيينها دون deviceId، فلن يتم إلغاء أي رموز تحديث، مما يبقي جميع الجلسات السابقة نشطة. وهذا يسمح للمهاجم الذي حصل مسبقًا على رمز تحديث بمواصلة إنشاء رموز وصول جديدة حتى بعد إعادة تعيين كلمة المرور، مما يتيح الوصول غير المصرح به طوال مدة صلاحية رمز التحديث، والتي تبلغ 30 يومًا بشكل افتراضي.التوصيات
التحديث إلى الإصدار 5.33.3 أو أحدث.
استغلال
إصلاح
Insufficient Session Expiration
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Strapi