CVE-2026-50000

SecureDrop to system zgłaszania sygnalistów o otwartym kodzie źródłowym, którego organizacje medialne mogą używać do bezpiecznego przyjmowania dokumentów i komunikowania się z anonimowymi źródłami. Od wersji 2.5.0 do 2.16.0 „Interfejs dziennikarza” może akceptować token „sesji API” w stosunku do „interfejsu internetowego”, ponieważ jego „Interfejs sesji” przechowuje zmienny przedrostek klucza sesji, który zmienia się przy każdym żądaniu i utrzymuje się przy kolejnych żądaniach. Sesje API i sieciowe zostały oddzielone w `Redis` począwszy od wersji 2.5.0, ale uszkodzenie przedrostków myli przestrzenie nazw sesji. Osoba atakująca, która ma już dostęp do tajnego adresu cebulowego „Interfejsu Dziennikarza”, wymaganego dostępu uwierzytelniającego i niedawnego, niewygasłego tokena „sesji API”, może ponownie wykorzystać ten token w stosunku do „interfejsu internetowego” aż do jego naturalnego wygaśnięcia, czyli maksymalnie ośmiu godzin. Uszkodzony prefiks może również uniemożliwić wylogowanie i usunięcie prawidłowej sesji „Redis”, chociaż nadal obowiązuje normalne wygaśnięcie. Zaatakowany dziennikarz może uzyskać dostęp do zaszyfrowanych zgłoszeń i wykonywać szerokie działania na zgłoszeniach źródłowych, ale ten problem nie powoduje ujawnienia zgłoszeń w postaci zwykłego tekstu ani nie wpływa na dostępność działającego systemu. Ten problem został rozwiązany w wersji 2.16.0.