CVE-2026-117499

Nome do Software Vulnerável e Versões Afetadas @fastify/session versões anteriores a 11.1.6

Description Com o comportamento padrão de sessão rotativa, uma requisição que restaura uma sessão antes de um logout pode salvar sua própria cópia após outra requisição ter completado a chamada de destruição da sessão. Isso permite a recriação de um identificador de sessão destruído juntamente com seus dados autenticados. Um invasor que possua um cookie de sessão assinado válido de uma vítima pode manter uma requisição em trânsito durante o logout e repetir esse cookie para restaurar a sessão após ela ter sido revogada, sem a necessidade de roubo de cookies ou falsificação de assinatura.

Recommendations Atualize para a versão 11.1.6 ou posterior. Lojas de sessão personalizadas devem implementar a nova gravação condicional.