CVE-2026-100502
ŚrednieCVSS 5.0Streszczenie
Flame do wersji 2.4.0 zawiera podatność niewystarczającego wygasania sesji w punkcie końcowym logowania, która pozwala atakującym z byłym dostępem administratora na uzyskanie tokenów o dowolnej długości życia poprzez podanie niezweryfikowanych parametrów czasu trwania. Atakujący mogą tworzyć prawie wieczne tokeny administratora, które przetrwają zmiany hasła, zachowując pełną kontrolę nad pulpitem, ponieważ tokeny są weryfikowane tylko względem statycznego sekretu JWT, który nigdy nie jest rotowany.
Ocena ryzyka
Ryzyko obejmuje trwałe przejęcie konta administratora, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się aktualizację Flame do wersji z poprawką, która wymusza prawidłowe wygasanie sesji i rotację sekretu JWT.
Inne podatności w Flame
Zobacz wszystkie- CVE-2026-100501Średnie
Flame do wersji 2.4.0 zawiera podatność nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia w punkcie końcowym POST /api/auth, która pozwala nieuwierzytelnionym atakującym na brute-force hasła administratora. Atakujący mogą wysyłać nieograniczoną liczbę prób bez ograniczania szybkości, liczników prób, blokad lub opóźnień, aby uzyskać pełny dostęp administratora i modyfikować konfigurację aplikacji.
- CVE-2026-100418Średnie
Flame do wersji 2.4.0 zawiera podatność ujawnienia informacji w nieuwierzytelnionym punkcie końcowym GET /api/config, który zwraca cały obiekt konfiguracji bez redakcji pól. Atakujący mogą pobrać zapisany klucz API pogody i wewnętrzne ustawienia operacyjne, wysyłając pojedyncze nieuwierzytelnione żądanie, aby zużyć limit dostawcy lub uzyskać dostęp do wrażliwych danych konfiguracyjnych.
Oryginalny opis (angielski, źródło NVD)
Flame through 2.4.0 contains an insufficient session expiration vulnerability in the login endpoint that allows attackers with former admin access to obtain tokens with arbitrary lifespans by supplying unvalidated duration parameters. Attackers can mint near-permanent administrator tokens that survive password changes, retaining full control of the dashboard since tokens are verified only against a static JWT secret that is never rotated.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS