Apache Answer: AdminToken not invalidated after admin deactivation
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Cuando una cuenta de administrador se desactiva o se elimina en Apache Answer, sus tokens de seguridad siguen siendo válidos y pueden usarse para acceder a funciones administrativas. Esto significa que un administrador anterior podría mantener acceso incluso después de ser removido.
Apache Answer no invalida tokens administrativos previamente emitidos cuando una cuenta de administrador se suspende, se elimina o se desactiva (CWE-1259: Restricción Impropia de Asignación de Token de Seguridad). Un atacante que posea un token admin válido de una cuenta desactivada puede seguir accediendo a APIs administrativas hasta la expiración natural del token, eludiendo la revocación de acceso prevista.