CVE-2026-71302
WysokieCVSS 7.1Streszczenie
Aplikacja akceptuje identyfikatory sesji dostarczone przez użytkownika i nie regeneruje identyfikatora sesji po uwierzytelnieniu. Pozwala to atakującemu na wstępne zdefiniowanie identyfikatora sesji i ponowne użycie go po uwierzytelnieniu ofiary, co prowadzi do przejęcia sesji.
Ocena ryzyka
Atakujący może przejąć sesję uwierzytelnionego użytkownika, uzyskując dostęp do jego konta i danych. Prowadzi to do naruszenia poufności i integralności.
Rekomendacja
Zaktualizuj aplikację, aby generowała nowy identyfikator sesji po pomyślnym uwierzytelnieniu. Upewnij się, że identyfikatory sesji są generowane w sposób kryptograficznie bezpieczny.
Inne podatności w Web application
Zobacz wszystkie- CVE-2026-71189Niskie
Atakujący może skonstruować żądanie, które po wysłaniu przez innego użytkownika aplikacji spowoduje wykonanie kodu JavaScript dostarczonego przez atakującego w przeglądarce użytkownika w kontekście jego sesji. Jest to klasyczna podatność typu cross-site scripting (XSS).
- CVE-2026-69662Niskie
Aplikacja używa niebezpiecznych funkcji, które umożliwiają wykonywanie skryptów inline oraz funkcji ewaluacji ciągów znaków. Może to prowadzić do wykonania niezaufanego kodu JavaScript.
- CVE-2026-48999Średnie
Atakujący wstrzykują złośliwe skrypty (np. JavaScript) do systemu docelowego. Gdy inni użytkownicy odwiedzają zainfekowane strony, skrypty wykonują się w ich przeglądarkach, umożliwiając kradzież ciasteczek, przejęcie sesji i modyfikację treści.
- CVE-2025-41716Średnie
Aplikacja internetowa pozwala niezautoryzowanemu zdalnemu atakującemu poznać informacje o istniejących kontach użytkowników wraz z ich rolami z powodu braku uwierzytelnienia dla krytycznej funkcji.
Oryginalny opis (angielski, źródło NVD)
The application accepts user-supplied session identifiers and does not regenerate the session ID after authentication. This allows an attacker to predefine a session ID and reuse it after victim authentication, resulting in session takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS