CVE-2026-81826
KrytyczneCVSS 9.1Streszczenie
Dotknięte wersje Flowintel nie unieważniają istniejących sesji uwierzytelnionych po zmianie hasła użytkownika. Oznacza to, że jeśli atakujący posiada ważną sesję (np. z wcześniejszego dostępu lub skradziony token), zmiana hasła przez ofiarę nie kończy dostępu atakującego – sesja pozostaje aktywna do naturalnego wygaśnięcia. Poprawka wykrywa zmiany hasła i jawnie wywołuje _invalidate_user_sessions(user.id) po aktualizacji bazy danych, w funkcjach edit_user_core() i admin_edit_user_core(). Dotknięte wersje >=3.3.0.
Ocena ryzyka
Atakujący z przechwyconą sesją może zachować dostęp do konta nawet po zmianie hasła, co zwiększa ryzyko długotrwałej kompromitacji.
Rekomendacja
Zaktualizuj Flowintel do wersji zawierającej poprawkę unieważniającą sesje po zmianie hasła.
Oryginalny opis (angielski, źródło NVD)
Affected versions of Flowintel do not revoke existing authenticated sessions when a user’s password is changed. This means that if an attacker already possesses a valid session—for example, from prior access or a stolen session token—the victim changing their password does not terminate that attacker’s access. The session remains usable until it expires naturally. The upstream commit describes this directly as: “session keeps working until it expires.” The fix detects password changes and explicitly invokes _invalidate_user_sessions(user.id) after the database update. This is applied in both edit_user_core() and admin_edit_user_core(). Version impacted >=3.3.0