CVE-2021-25985

Factor (App Framework & Headless CMS), versões 1.0.4 a 1.8.30

O problema decorre da invalidação inadequada da sessão após o usuário fazer logout, combinada com o armazenamento das sessões do usuário no armazenamento local do navegador, que não possui um prazo de validade por padrão. Isso permite que um invasor possa roubar e reutilizar cookies por meio de técnicas como ataques XSS, levando à apropriação da conta local.

Para as versões 1.0.4 a 1.8.30, considere implementar a invalidação adequada da sessão após o logout do usuário e definir um prazo de validade para as sessões armazenadas no armazenamento local, a fim de mitigar o risco de reutilização da sessão. Como solução temporária, restrinja o acesso a áreas confidenciais do aplicativo que dependem de autenticação baseada em sessão até que uma correção mais permanente possa ser aplicada.