CVE-2026-1163
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Najnowsza wersja parisneo/lollms zawiera podatność na niewystarczające wygaśnięcie sesji. Aplikacja nie unieważnia aktywnych sesji po zmianie hasła, co pozwala atakującemu na kontynuowanie korzystania ze starego tokena sesji. Problem wynika z braku logiki odrzucania żądań po okresie bezczynności oraz z domyślnego czasu trwania sesji wynoszącego 31 dni. Umożliwia to atakującemu utrzymanie trwałego dostępu do skompromitowanego konta nawet po zmianie hasła przez ofiarę.
Ocena ryzyka
Atakujący może zachować dostęp do konta ofiary nawet po zmianie hasła, co może prowadzić do długotrwałego naruszenia poufności danych i dalszych ataków.
Rekomendacja
Zaleca się wdrożenie mechanizmu unieważniania sesji po zmianie hasła oraz skrócenie domyślnego czasu trwania sesji.
Oryginalny opis (angielski, źródło NVD)
An insufficient session expiration vulnerability exists in the latest version of parisneo/lollms. The application fails to invalidate active sessions after a password reset, allowing an attacker to continue using an old session token. This issue arises due to the absence of logic to reject requests after a period of inactivity and the excessively long default session duration of 31 days. The vulnerability enables an attacker to maintain persistent access to a compromised account, even after the victim resets their password.