CVE-2026-123799

Nome do Software Vulnerável e Versões Afetadas SuperTokens Core versões 11.0.0 até 11.0.8 SuperTokens Core versões 11.1.0 até 11.1.3 SuperTokens Core versões 11.2.0 até 11.2.3 SuperTokens Core versões 11.3.0 até 11.3.7 SuperTokens Core versões 11.4.0 até 11.4.7 SuperTokens Core versões 12.0.0 até 12.0.10 SuperTokens Core versões 12.1.0 até 12.1.1

Descrição A função isValidUserSession no Dashboard trata qualquer linha de sessão armazenada como válida, pois não compara DashboardSessionInfo.expiry com a hora atual. Além disso, a função getSessionInfoWithSessionId seleciona dados por aplicativo e identificador de sessão sem um predicado de expiração, dependendo exclusivamente do processo de limpeza DeleteExpiredDashboardSessions para a aplicação da expiração. Um invasor que possua uma sessão de administrador do dashboard pode continuar a usar o endpoint 'POST /recipe/dashboard/session/verify' após a expiração do tempo de vida de 30 dias, desde que a linha da sessão não tenha sido removida. Reinicializações frequentes do Core podem impedir a execução da varredura de limpeza de 12 horas, permitindo que a sessão obsoleta mantenha acesso total de leitura e gravação ao dashboard. Este problema não fornece meios para adivinhar ou adquirir o identificador de sessão aleatório.

Recomendações Atualizar para a versão 11.0.9 Atualizar para a versão 11.1.4 Atualizar para a versão 11.2.4 Atualizar para a versão 11.3.8 Atualizar para a versão 11.4.8 Atualizar para a versão 12.0.11 Atualizar para a versão 12.1.2