Identificată sub codul CVE-2025-24859 și clasificată cu un scor CVSS de 10.0 (ceea ce indică o severitate maximă), această eroare de securitate afectează toate versiunile Roller până la 6.1.4, inclusiv.
Conform avertismentului emis de dezvoltatorii proiectului, "o vulnerabilitate în gestionarea sesiunilor există în Apache Roller înainte de versiunea 6.1.5, unde sesiunile active ale utilizatorilor nu sunt invalidate corespunzător după schimbarea parolelor". Aceasta înseamnă că, atunci când un utilizator își schimbă parola (fie el însuși, fie un administrator), sesiunile existente rămân active și utilizabile.
Exploatarea cu succes a acestei vulnerabilități ar putea permite unui atacator să mențină accesul continuu la aplicație prin sesiuni vechi, chiar și după ce parola a fost modificată. De asemenea, ar putea facilita un acces nelimitat în cazul în care credențialele au fost compromise anterior. Această deficiență a fost remediată în versiunea 6.1.5 prin implementarea unei gestionări centralizate a sesiunilor, astfel încât toate sesiunile active sunt invalidate atunci când parolele sunt schimbate sau utilizatorii sunt dezactivați. Cercetătorul în securitate Haining Meng este creditat pentru descoperirea și raportarea acestei vulnerabilități critice.
Remedierea acestei deficiențe a fost implementată în versiunea 6.1.5 prin introducerea unei gestionări centralizate a sesiunilor. Acest nou mecanism introduce un punct unic de control pentru monitorizarea și manipularea tuturor sesiunilor active ale utilizatorilor. Această abordare elimină riscul ca sesiunile vechi să rămână active după modificarea parolei, contracarând astfel vulnerabilitatea critică.
