CVE-2026-39924
Açıklama
Flarum 1.8.16 öncesi sürümlerinde, oturum geçersiz kılmanın hatalı yapılmasına ilişkin bir güvenlik açığı bulunmaktadır. Bu açık, geçerli bir oturum belirtecine sahip saldırganların, kurbanın parolasını değiştirmesinin ardından tam hesap erişimini korumasına olanak tanır; çünkü parola değişikliği olaylarında access_tokens tablosu hiçbir zaman temizlenmez. TokensClearer::clearPasswordTokens() işlevi yalnızca password_tokens tablosundaki satırları kaldırırken tüm etkin oturum çerezlerini ve API bearer belirteçlerini, uzun ömürlü RememberAccessToken girdileri dahil, olduğu gibi bırakır; ayrıca user update uç noktası aracılığıyla yönetici tarafından zorunlu kılınan parola sıfırlamaları da saldırganın elindeki oturumları iptal etmede aynı derecede etkisizdir.
Nasıl düzeltilir
- Flarum Flarum Framework1.8.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Flarum Flarum Framework | v < 1.8.16 | 1.8.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.