CVE-2026-47234
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Admidio to open-source'owe narzędzie do zarządzania użytkownikami. Przed wersją 5.0.10, gdy włączone jest logowanie debugowania, `Session::setCookie()` loguje pełne wartości ciasteczek, a `Session::start()` loguje bieżący identyfikator sesji. W rzeczywistym wdrożeniu Admidio obejmuje to zarówno aktywne ciasteczko sesji, jak i trwałe ciasteczko automatycznego logowania. Każdy, kto ma dostęp do dziennika, może odzyskać aktywne poświadczenia typu bearer z logów. Wersja 5.0.10 zawiera poprawkę.
Ocena ryzyka
Ryzyko ujawnienia aktywnych poświadczeń sesji i automatycznego logowania osobom z dostępem do logów, co może prowadzić do przejęcia kont.
Rekomendacja
Zaleca się aktualizację Admidio do wersji 5.0.10 lub nowszej oraz ograniczenie dostępu do logów debugowania.
Oryginalny opis (angielski, źródło NVD)
Admidio is an open-source user management solution. Prior to version 5.0.10, when debug logging is enabled, `Session::setCookie()` logs full cookie values and `Session::start()` logs the current session ID. In a real Admidio deployment this includes both the active session cookie and the persistent auto-login cookie. Anyone with access to the log sink can recover live bearer-style credentials from the logs. Version 5.0.10 contains a fix.