CVE-2026-1163: Insufficient Session Expiration Allows Session Persistence After Password Reset

脆弱性サマリー 脆弱性情報 CVE番号: CVE-2026-1163 脆弱性タイプ: CWE-613: Insufficient Session Expiration（セッション有効期限の不十分さ） 説明: 本ウェブサイトでは、攻撃者が古いセッション認証情報やセッションIDを再利用できるようになっている。具体的には、ユーザーがパスワードを変更しても、既存のセッションは有効のまま維持される。 重大度: Medium (4.1) 影響範囲 対象バージョン: Latest（最新バージョン） 具体的な影響: アカウントが侵害された場合、被害者は攻撃者のアクセス権限を取り消すことができない。 根本原因 (Occurrences): 1. session.py (L98): コードは を更新するための「ハートビート」メカニズムを実装しているが、その有効性検証を行っていない。JWTが有効な限りセッションは期限なしで維持されるため、アクティビティモニタリングによるセキュリティ効果が無効化されている。 2. config.py (L126): デフォルト設定では が 44,640 分（31日）に設定されている。この過度に長いTTL（生存時間）は最小権限の原則に違反しており、攻撃者が再認証なしで1ヶ月間持続的にアクセスできることを意味する。 修正方針 リポート末尾のコメント「Legit. I'll fix that in next release」より、開発者は本問題を認識しており、次のリリースで修正する計画がある。 修正としては、 のデフォルト値を短縮し、 におけるハートビート検証ロジックを改善して、パスワードのリセット時に古いセッションを強制的に失効させるべきである。 PoC (Proof of Concept)**

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-1163: Insufficient Session Expiration Allows Session Persistence After Password Reset

目標達成すべての支援者に感謝 — 100%達成しました！