Abgelaufene Sitzung im Samly-Paket für Elixir umgeht Zugriffskontrolle

Beschreibung

Im Samly-Paket für Elixir vor Version 1.4.0 kann Samly.State.Store.get_assertion/3 eine bereits abgelaufene Sitzung zurückgeben. Das beeinträchtigt die Zugriffskontrolle, weil Samly.AuthHandler eine zwischengespeicherte Sitzung verwendet und sie auch nach Ablauf nicht ersetzt. Angreifer können dadurch mit einer eigentlich ungültigen Sitzung weiterarbeiten. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Samly 1.4.0 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in DocuSign/Box/Dropbox

• Dell dbutil-Treiber – Unzureichende Zugangskontrolle KEV CVE-2021-21551
• CVE-2015-8256 – Sicherheitslücke in Axis-Produkten CVE-2015-8256
• GV-I/O Box 4E: Schwachstelle im standardmässig aktiven DVRSearch-UDP-Dienst CVE-2026-12846
• GV-I/O Box 4E – DVRSearch-Dienst über UDP angreifbar CVE-2026-12847
• GV-I/O Box 4E – DVRSearch-UDP-Dienst als Angriffsfläche CVE-2026-12848
• WP Dropbox Dropins – unbeschränkter Datei-Upload ermöglicht Web-Shell CVE-2024-49607