JVNVU#99686415
nopCommerceにセッションCookieが無効化されない脆弱性

nopCommerceにはセッションCookieが無効化されない脆弱性が存在します。

• nopCommerce v4.70より前のすべてのバージョン
• nopCommerce v4.80.3

nopCommerceはASP.NET Coreをベースとするeコマースプラットフォームです。nopCommerceにはログアウトまたはセッション終了後にセッションCookieが無効化されない脆弱性があります。（CVE-2025-11699、CWE-613）

攻撃者が有効なセッションCookieを取得した場合、正当なユーザーがログアウトした後でも、Cookieを再利用して特権的なエンドポイント（/adminなど）へのアクセスを継続し、セッションハイジャックや権限昇格を行う可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。