CVE-2025-59841

FlagForge: nieprawidłowe unieważnianie sesji po wylogowaniu

CVSS 9.8v3.1pub. 2025-09-25upd. 2025-10-08

Aplikacja webowa FlagForge w wersjach od 2.2.0 do przed 2.3.1 nieprawidłowo obsługuje unieważnianie sesji po wylogowaniu użytkownika. Tokeny sesji oraz tokeny CSRF pozostają ważne po wylogowaniu, co umożliwia nieautoryzowany dostęp do chronionych zasobów.

▸ Pokaż oryginał (EN)

Flag Forge is a Capture The Flag (CTF) platform. In versions from 2.2.0 to before 2.3.1, the FlagForge web application improperly handles session invalidation. Authenticated users can continue to access protected endpoints, such as /api/profile, even after logging out. CSRF tokens are also still valid post-logout, which can allow unauthorized actions. This issue has been patched in version 2.3.1.

🤖 Analiza AI

Jak działa

Po wylogowaniu się użytkownika aplikacja nie unieważnia poprawnie jego sesji po stronie serwera (CWE-613 — niewystarczające wygasanie sesji). Uwierzytelniony wcześniej użytkownik może nadal wysyłać żądania do chronionych endpointów, takich jak /api/profile, i uzyskiwać odpowiedzi serwera. Dodatkowo tokeny CSRF pozostają aktywne po wylogowaniu (CWE-384 — utrwalenie sesji), co może pozwalać na wykonywanie nieautoryzowanych działań w imieniu wylogowanego użytkownika.

Skutki

Atakujący lub osoba posiadająca dostęp do starego tokenu sesji może kontynuować dostęp do chronionych danych i wykonywać nieautoryzowane operacje w aplikacji nawet po formalnym wylogowaniu ofiary.

Mitygacja

Należy zaktualizować FlagForge do wersji 2.3.1, w której problem został naprawiony. Patch dostępny w repozytorium GitHub producenta (commit 304b6c82a4f76871b336404b91e5cdd8a7d7d5bd).