5.9
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, с администраторски права и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Flame through 2.4.0 contains an insufficient session expiration vulnerability in the login endpoint that allows attackers with former admin access to obtain tokens with arbitrary lifespans by supplying unvalidated duration parameters. Attackers can mint near-permanent administrator tokens that survive password changes, retaining full control of the dashboard since tokens are verified only against a static JWT secret that is never rotated.
Засегнати продукти
- pawelmalak flame: до 2.4.0
Вид слабост
История
- 25 септември 2026 Публикувано
Други уязвимости в pawelmalak flame
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-100502
- https://nvd.nist.gov/vuln/detail/CVE-2026-100502
- https://github.com/pawelmalak/flame/issues/494
- https://github.com/pawelmalak/flame/blob/v2.4.0/controllers/auth/login.js#L9-L17
- https://github.com/pawelmalak/flame/blob/v2.4.0/utils/signToken.js#L4
- https://github.com/pawelmalak/flame/blob/v2.4.0/utils/init/initSecret.js#L8-L25
- https://github.com/pawelmalak/flame
- https://www.vulncheck.com/advisories/flame-through-2.4.0-admin-token-insufficient-session-expiration