CVE-2026-41891: Deactivated User Session Bypass Vulnerability and Patch Analysis

バグサマリー：Deactivated User Session Bypass (active=0) バグ概要 バグタイプ：ユーザーセッションのバイパス（Deactivated User Session Bypass） 深刻度：Moderate (5.3 / 10) CVE ID：CVE-2026-41891 CVSS ベクター： 公開日：2週間前 報告者：gapickle 説明 ユーザーがブロックされているかどうか（ ）を確認するための認証フィルタ内のコードがコメントアウトされており、 フィールドの再チェックも行われていません。管理者がユーザーを に設定した場合でも、そのユーザーがすでにログインしている場合、 は依然として を返すため、そのセッションは有効のままとなります。 影響 ユーザーの無効化が行っても、バックエンドへのアクセス権が即時取り消されません。 ブロックされたユーザーは、セッションが期限切れになるまで（デフォルトで 7200 秒）、システムにアクセスし続けることができます。 修正方法 パッチバージョン：0.31.8.0 影響を受けるバージョン：v0.26.x ~ v0.31.7.0 --- 検証用コード（POC） --- 追加情報 コメントアウトされたコードブロックは、遅延プレースホルダーのようであり、当初導入された際にはアクティブ化されていませんでした。 後ほど追加された SessionTracker（v0.31.4.0）は、開発者がセッション取り消しバグを認識していたことを示唆していますが、アカウントレベルの無効化（ ）はまだ検証されていません。 この問題が意図的なものであるか、単なる忘却で文書化されていないものであるかを確認することを推奨します。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-41891: Deactivated User Session Bypass Vulnerability and Patch Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-41891: Deactivated User Session Bypass Vulnerability and Patch Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！