Vulnerabilità
CVE-2026-100502
Scheda descrittiva ricevuta da OpenCTI e minimizzata per la consultazione nel portale Intel.
- Condivisione
- PUBLIC-OSINT
- Confidenza
- 100
- Fonte
- The CVE Program
- Aggiornata
- 26/09/2026 03:13
Descrizione
Flame through 2.4.0 contains an insufficient session expiration vulnerability in the login endpoint that allows attackers with former admin access to obtain tokens with arbitrary lifespans by supplying unvalidated duration parameters. Attackers can mint near-permanent administrator tokens that survive password changes, retaining full control of the dashboard since tokens are verified only against a static JWT secret that is never rotated.
Alias e classificazioni
CWE-613Insufficient Session Expiration
Dettagli tecnici minimizzati
Nessun dato grezzo- cisa kev
- False
- cvss score
- 5
- cvss vector
- CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:H/A:N
- cvss severity
- MEDIUM
Provenienza
Riferimenti pubblici
- JWT secret persisted once in data/.secret, never rotated
https://github.com/pawelmalak/flame/blob/v2.4.0/utils/init/initSecret.js - login passes client-supplied duration to signToken
https://github.com/pawelmalak/flame/blob/v2.4.0/controllers/auth/login.js - VulnCheck Advisory: Flame through 2.4.0 Admin Token Insufficient Session Expiration
https://www.vulncheck.com/advisories/flame-through-2.4.0-admin-token-insufficient-session-expiration - JWT signed with caller-chosen expiresIn
https://github.com/pawelmalak/flame/blob/v2.4.0/utils/signToken.js - GitHub Issue #494 (finding 5)
https://github.com/pawelmalak/flame/issues/494 - product
https://github.com/pawelmalak/flame
Correlazione EudorIA
Catalogo Intel
La vulnerabilità è presente anche nel catalogo editoriale EudorIA.
Apri analisi EudorIALa presenza in OpenCTI descrive una correlazione di intelligence e non costituisce, da sola, prova di compromissione, attribuzione legale o indicazione operativa applicabile senza verifica del contesto.