CVE-2025-24973
CriticalSummary
Concorde, wcześniej znany jako Nexkey, to fork federacyjnej platformy mikroblogowej Misskey. Przed wersją 12.25Q1.1, z powodu niewłaściwej implementacji procesu wylogowywania, dane uwierzytelniające pozostają w ciasteczkach nawet po wylogowaniu, co może umożliwić atakującemu kradzież tokenów uwierzytelniających.
Risk Assessment
Może to mieć katastrofalne konsekwencje, jeśli użytkownik z uprawnieniami administratora korzystał z urządzenia współdzielonego. Użytkownicy, którzy logowali się na współdzielonym urządzeniu, są narażeni na kradzież swoich danych uwierzytelniających.
Recommendation
Zaleca się, aby użytkownicy, którzy korzystali z współdzielonych urządzeń, przeszli do Ustawienia > Bezpieczeństwo i wygenerowali nowe tokeny logowania. Wersja 12.25Q1.1 rozwiązuje ten problem, a jako tymczasowe rozwiązanie należy wyczyścić ciasteczka i dane witryny w przeglądarce po wylogowaniu.
Original NVD description (English source)
Concorde, formerly know as Nexkey, is a fork of the federated microblogging platform Misskey. Prior to version 12.25Q1.1, due to an improper implementation of the logout process, authentication credentials remain in cookies even after a user has explicitly logged out, which may allow an attacker to steal authentication tokens. This could have devastating consequences if a user with admin privileges is (or was) using a shared device. Users who have logged in on a shared device should go to Settings > Security and regenerate their login tokens. Version 12.25Q1.1 fixes the issue. As a workaround, clear cookies and site data in the browser after logging out.