CVE-2026-1435

Graylog Web Interface-in 2.2.3 versiyasında yeni girişlərdən sonra sessiyanın etibarsızlaşdırılmasının yanlış idarə olunması səbəbindən sessiyanın düzgün şəkildə etibarsızlaşdırılmaması zəifliyi mövcuddur. Tətbiq istifadəçi hər dəfə autentifikasiya olunduqda yeni bir 'sessionId' yaradır, lakin əvvəl verilmiş sessiya identifikatorlarını etibarsızlaşdırmır və həmin identifikatorlar eyni istifadəçinin ardıcıl çox saylı girişlərindən sonra belə etibarlı qalır. Nəticədə, oğurlanmış və ya sızmış 'sessionId' etibarlı sorğuları autentifikasiya etmək üçün istifadə edilməyə davam edə bilər. Bu zəifliyin istismarı, veb xidmət/API şəbəkəsinə (port 9000 və ya serverin HTTP/S son nöqtəsi) çıxışı olan hücumçuya tətbiqə icazəsiz giriş əldə etmək, API/veb ilə qarşılıqlı əlaqə qurmaq və təsirlənmiş hesabın bütövlüyünü pozmaq üçün köhnə sessiya tokenini yenidən istifadə etməyə imkan verir.