Contao: Remember-me tokens will not be cleared after a password change

CAO 7.1CVE-2024-30262 · GHSA-r4r6-j2j3-7pp5 · Công bố 09/04/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-30262 là lỗ hổng mức CAO (CVSS 7.1) ảnh hưởng contao/core-bundle, contao (contao).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.50%, cao hơn 42.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.13.40 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
contao/core-bundle Packagist	`< 4.13.40`	`4.13.40`
contao contao	`< 4.13.40`	`4.13.40`

Mô tả

Impact

When a front end member changes their password, the corresponding remember-me tokens are not removed.

Patches

Update to Contao 4.13.40.

Workarounds

Disable "Allow auto login" in the login module.

References

https://contao.org/en/security-advisories/remember-me-tokens-are-not-cleared-after-a-password-change

For more information

If you have any questions or comments about this advisory, open an issue in contao/contao.

Mô tả của NVD

Contao is an open source content management system. Prior to version 4.13.40, when a frontend member changes their password in the personal data or the password lost module, the corresponding remember-me tokens are not removed. If someone compromises an account and is able to get a remember-me token, changing the password would not be enough to reclaim control over the account. Version 4.13.40 contains a fix for the issue. As a workaround, disable "Allow auto login" in the login module.