CVE-2026-64829

Nome do Software Vulnerável e Versões Afetadas Question2Answer versões anteriores a 1.8.9

Description Um problema de invalidação de sessão ocorre quando o fluxo de redefinição de senha esquecida falha ao limpar o campo sessioncode no arquivo qa-include/app/users-edit.php. Enquanto o processo normal de alteração de senha em qa-include/pages/account.php invalida corretamente os cookies qa session persistentes, a função qa finish reset user() omite essa etapa. Isso permite que um invasor que possua um cookie remember-me obtido anteriormente mantenha o acesso autenticado a uma conta mesmo após a redefinição da senha.

Recommendations Atualize o Question2Answer para uma versão posterior à 1.8.8. Como medida de mitigação temporária, restrinja o acesso à função qa finish reset user() ou ao fluxo de senha esquecida até que uma correção seja aplicada.