PT-2026-68185

CVE-2026-39924

Publicado

2026-08-05

Atualizado

2026-08-05

Descrição por

CVSS 4.0

7.6

Alta

MétricasAV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Flarum versões anteriores a 1.8.16

Description A invalidação inadequada de sessão permite que invasores com um token de sessão válido mantenham acesso total à conta mesmo após a alteração da senha. Isso ocorre porque a tabela access tokens não é limpa durante eventos de alteração de senha. Especificamente, a função TokensClearer::clearPasswordTokens() remove apenas entradas da tabela password tokens, mantendo intactos os cookies de sessão ativos, tokens de portador de API e entradas RememberAccessToken de longa duração. Além disso, redefinições de senha forçadas por administradores via endpoint de atualização de usuário não conseguem revogar essas sessões ativas.

Recommendations Atualize para a versão 1.8.16 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Hamed Kohi

Vulncheck

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-613: Insufficient Session Expiration