vantage6 refresh tokens do not expire
From issue:
Problem description Currently, the refresh token is valid indefinitely. This is bad security practice.
Desired solution The refresh token should get a validity of 24-48 hours.
Additional context
When implementing this, also check that the refresh token returns a new refresh token When implementing this, also adapt the UI so that it logs out if refresh token is no longer valid. When implementing this, ensure that nodes refresh their token periodically so that they do not have to be restarted manually.
Impact
Patches
None available
Workarounds
None available
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | vantage6 | < 3.8.0 | 3.8.0 |
Odnośniki
- https://github.com/vantage6/vantage6/commit/48ebfca42359e9a6743e9598684585e2522cdce8
- https://github.com/vantage6/vantage6/security/advisories/GHSA-4w59-c3gc-rrhp
- https://nvd.nist.gov/vuln/detail/CVE-2023-23929
- https://github.com/pypa/advisory-database/tree/main/vulns/vantage6/PYSEC-2023-54.yaml
- https://github.com/vantage6/vantage6
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-613- Platforma
- Python (PyPI)
- Paczka
vantage6- Ujawniono
- 28.02.2023
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2023-54 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-4w59-c3gc-rrhp - CC BY 4.0
Historia podatności: vantage6
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 20
- Pierwsza → ostatnia
- 02.2023 07.2026
- Bez poprawki
- 1
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 5
- Średnia 9
- Niska 6
Ujawnienia w latach
- 2023: 7
- 2024: 7
- 2025: 1
- 2026: 5
-
vantage6 refresh tokens do not expire ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.