CVE-2026-71206 in shiori
الملخص
بحسب VulDB • 05/08/2026
تقوم دالة CheckToken في Shiori (internal/domains/auth.go) بالتحقق من توقيع HMAC الخاص بـ JWT فقط، وتعيد كائن الادعاءات المضمنة (claims.Account) دون تعديل، دون إعادة جلب الحساب من قاعدة البيانات أبدًا. لا يوجد أي مخزن للجلسات أو آلية لإلغاء الرموز المميزة في شفرة المصدر. إن حذف حساب ما أو تخفيض صلاحياته من مالك إلى دور عادي لا يؤثر على الرموز الصادرة مسبقًا لهذا الحساب — حيث يستمر رمز المالك المحذوف أو المخفّض في المصادقة مع امتيازات المستوى الأصلي للمالك حتى انتهاء صلاحيته الطبيعية، والتي قد تصل إلى 30 يومًا عند تفعيل خيار "تذكرني".
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.