CVE-2026-60053
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Apache Answer do wersji 2.0.1 ma niewystarczające wygasanie sesji: administracyjne klucze API pozostają ważne po degradacji administratora lub po oznaczeniu konta jako nieaktywne, zawieszone lub usunięte, umożliwiając dalszy dostęp do czasu jawnego usunięcia kluczy.
Ocena ryzyka
Osoby z nieaktualnymi kluczami API mogą zachować nieautoryzowany dostęp administracyjny, co stanowi poważne zagrożenie dla poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację Apache Answer do wersji 2.0.2, która naprawia ten problem, oraz regularne przeglądanie i usuwanie nieużywanych kluczy API.
Oryginalny opis (angielski, źródło NVD)
Insufficient Session Expiration vulnerability in Apache Answer. This issue affects Apache Answer: through 2.0.1. Administrative API keys remained usable after the owning administrator was demoted or the account was marked inactive, suspended, or deleted, allowing continued access until the keys were explicitly removed. Users are recommended to upgrade to version 2.0.2, which fixes the issue.