Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-362
  • CWE-613

CVE-2026-117499

@fastify/session oturum iptali atlatma (logout yarış koşulu)

@fastify/session

Düşük 3,7 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
openjs

Yönetici özeti

Bu açık, kullanıcıların oturumlarının çıkış yaptıktan sonra da geçerli kalmasına yol açabilir; yani güvenlik amacıyla kapatılan erişim yeniden kullanılabilir. Etkisi sınırlı ve saldırının koşulları zor olsa da, uygulamanın kullanıcı oturumlarına bağlı bir hizmet olması durumunda güncelleme yapılması önerilir.

ÖzetTürkçe

@fastify/session, Fastify için bir oturum eklentisidir. 11.1.6 öncesi sürümlerde, varsayılan yuvarlanan (rolling) oturum davranışı altında, bir çıkış işlemi sırasında oturumu geri yükleyen bir istek, başka bir istek oturumu yok ettikten sonra kendi kopyasını kaydedebilmektedir. Bu durum, yok edilen oturum kimliğini kimlik doğrulaması yapılmış verileriyle yeniden oluşturur. Etkilenen sürümleri kullanan tüm kurulumlar risk altındadır.

Saldırgan ne yapabilir?

Geçerli imzalı oturum çerezine sahip bir saldırgan, çıkış yapıldıktan sonra da oturumu geri yükleyerek iptal edilmesi gereken erişimi sürdürebilir. Çerez çalınmasına veya imza sahteciliğine gerek yoktur.

Kaynaktaki açıklama (İngilizce)

@fastify/session is a session plugin for Fastify. In all releases before 11.1.6, with the default rolling session behavior, a request that restored a session before a logout could save its own copy after another request had completed the session destroy call, recreating the destroyed session identifier with its authenticated data. An attacker who already holds a victim's valid signed session cookie and keeps a request in flight across the logout can replay that cookie to restore the session after it was meant to be revoked, without any cookie theft or signature forgery. The issue is fixed in @fastify/session 11.1.6, which adds a per session generation marker and a conditional store write so a session restored before a logout or regeneration cannot recreate or overwrite the current entry, and users should upgrade to 11.1.6 or later. There is no workaround, and custom session stores must implement the new conditional write.

Ne yapmalı?

  1. @fastify/session paketini 11.1.6 veya daha yeni bir sürüme yükseltin. Üretici
  2. Özel oturum depolama (session store) kullanıyorsanız, yeni koşullu yazma (conditional write) işlemini uyguladığınızdan emin olun; bu, sürüm 11.1.6 ile gelen gerekliliktir. Üretici
  3. Yükseltme yapılana kadar, çıkış sonrası oturumların gerçekten sonlandığını doğrulayın ve şüpheli oturum etkinliğini izleyin. Genel öneri

Ek önlemler

  • Üretim ortamında kullanılan tüm Fastify uygulamalarında bağımlılık sürümlerini düzenli olarak denetleyin. Genel öneri
  • Çıkış sonrası aynı oturum kimliğinin yeniden kullanılıp kullanılmadığını izleyen kayıtlar (log) tutun. Genel öneri
  • Hassas işlemler için oturum süresini kısa tutun ve kritik işlemlerde yeniden kimlik doğrulama isteyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
@fastify/session < 11.1.6 11.1.6
11.1.6 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.