CVE-2026-123804

Nome do Software Vulnerável e Versões Afetadas SuperTokens Core versões 7.0.0 até 11.0.8 SuperTokens Core versões 11.1.0 até 11.1.3 SuperTokens Core versões 11.2.0 até 11.2.3 SuperTokens Core versões 11.3.0 até 11.3.7 SuperTokens Core versões 11.4.0 até 11.4.7 SuperTokens Core versões 12.0.0 até 12.0.10 SuperTokens Core versões 12.1.0 até 12.1.1 SuperTokens Core versão 12.2.0 SuperTokens Core versão 12.3.0

Description Existe uma condição de corrida onde a função createNewSession() pode resolver um usuário primário antes que a função unlinkAccounts() desvincule um método de login. A sessão é então inserida após o processo de desvinculação ter enumerado e revogado as sessões existentes. Um invasor que controle o método de login vinculado pode explorar isso para manter uma sessão assinada, baseada em banco de dados e renovável como a antiga identidade primária após o método ser desvinculado. Esta sessão permanece ativa até expirar ou ser explicitamente revogada.

Recommendations Atualizar para a versão 11.0.9 Atualizar para a versão 11.1.4 Atualizar para a versão 11.2.4 Atualizar para a versão 11.3.8 Atualizar para a versão 11.4.8 Atualizar para a versão 12.0.11 Atualizar para a versão 12.1.2 Atualizar para a versão 12.2.1 Atualizar para a versão 12.3.1