در نسخه‌های 4.0 و قدیمی‌تر نرم‌افزار mall4j، یک آسیب‌پذیری در بخش انقضای نشست (Session Expiration) شناسایی شده است که به کاربران غیرفعال اجازه می‌دهد دسترسی خود را به صورت نامحدود تمدید کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در نقطه انتهایی (Endpoint) مربوط به تمدید توکن (Token Refresh) رخ می‌دهد. در این فرآیند، سیستم هنگام صدور نشست‌های جدید، وضعیت فعال بودن (Enabled Flag) حساب کاربری را بررسی نمی‌کند. در نتیجه، کاربرانی که توسط مدیر سیستم غیرفعال شده‌اند، می‌توانند از طریق درخواست POST /token/refresh، نشست‌های خود را تمدید کرده و دسترسی‌هایی را که قرار بود با غیرفعال‌سازی حساب حذف شوند، حفظ کنند.
شرایط بهره‌برداری و تاثیرات
- پیش‌نیاز: مهاجم باید از قبل یک توکن تمدید (Refresh Token) معتبر و منقضی‌نشده داشته باشد که پیش از غیرفعال شدن حساب دریافت شده باشد.
- نوع نقص: این یک نقص در کنترل دسترسی برای تداوم حضور (Access-Control Persistence) است و نه یک دور زدن احراز هویت (Authentication Bypass) برای حساب‌های جدید.
- امتیازدهی: این آسیب‌پذیری با شناسه CVE-2026-102367 و امتیاز CVSS 5.3 طبقه‌بندی شده و با CWE-613 (انقضای ناکافی نشست) مرتبط است.
