PT-2025-16163 · Apache · Apache Roller
Haining Meng
·
Publicado
2025-04-10
·
Atualizado
2025-06-03
·
CVE-2025-24859
CVSS v2.0
10
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do Apache Roller anteriores à 6.1.5
Descrição
Existe uma vulnerabilidade de gerenciamento de sessão no Apache Roller na qual as sessões de usuário ativas não são invalidadas corretamente após alterações de senha. Quando a senha de um usuário é alterada, seja pelo próprio usuário ou por um administrador, as sessões existentes permanecem ativas e utilizáveis. Isso permite acesso contínuo à aplicação por meio de sessões antigas mesmo após alterações de senha, potencialmente possibilitando acesso não autorizado caso as credenciais tenham sido comprometidas.
Recomendações
Atualize para a versão 6.1.5 do Apache Roller, que implementa gerenciamento de sessão centralizado que invalida corretamente todas as sessões ativas quando as senhas são alteradas ou os usuários são desativados.
Correção
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Roller