Flame through 2.4.0 contains an insufficient session expiration vulnerability in the login endpoint that allows attackers with former admin access to obtain tokens with arbitrary lifespans by supplying unvalidated duration parameters. Attackers can mint near-permanent administrator tokens that survive password changes, retaining full control of the dashboard since tokens are verified only against a static JWT secret that is never rotated.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 6
https://github.com/pawelmalak/flame
disclosure@vulncheck.com
https://github.com/pawelmalak/flame/blob/v2.4.0/controllers/auth/login.js#L9-L17
disclosure@vulncheck.com
https://github.com/pawelmalak/flame/blob/v2.4.0/utils/init/initSecret.js#L8-L25
disclosure@vulncheck.com
https://github.com/pawelmalak/flame/blob/v2.4.0/utils/signToken.js#L4
disclosure@vulncheck.com
https://github.com/pawelmalak/flame/issues/494
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/flame-through-2.4.0-admin-token-insufficie…
disclosure@vulncheck.com