CVE-2026-97056

SigNoz-un v0.98.0 versiyasından v0.143.0 versiyasına qədər olan (lakin v0.143.0 daxil olmaqla) versiyaları, şəffaf olmayan sessiya tokenləşdiricisi istifadə etmək üçün konfiqurasiya edildikdə (hansı ki, v0.143.0-dan əvvəl standart deyildi), istifadəçinin şifrəsi sıfırlama tokeni ilə dəyişdirildikdə (UpdatePasswordByResetPasswordToken, POST /api/v2/factor_password/reset vasitəsilə əlçatandır) və ya istifadəçi silindikdə (DeleteUser, DELETE /api/v2/users/{id} vasitəsilə əlçatandır) mövcud giriş sessiyalarını ləğv etmir. Hər iki kod yolu tokenləşdiricinin DeleteTokensByUserID funksiyasını çağırmır, buna görə də keşlənmiş tokenlər və kimliklər olduğu kimi qalır. Hesab üçün artıq sessiya tokeninə sahib olan hücumçu — məsələn, oğurlanmış brauzer sessiyasından və ya işdən çıxarılan istifadəçidən — şifrə sıfırlamasından sonra token konfiqurasiya edilmiş maksimum ömrünə çatana qədər (standart olaraq 30 gün) və istifadəçi silindikdən sonra token növbəti dəfə rotasiya olunana qədər (standart olaraq 30 dəqiqə) hesaba tam girişi (administrator səviyyəsinə qədər) saxlayır. Bu, şifrənin sıfırlanmasını və istifadəçinin silinməsini girişin sonlandırılması vasitəsi kimi faydasız edir. Problem v0.143.0 versiyasında düzəldilib.