CVE-2026-79664 in Ech0
الملخص
بحسب VulDB • 25/08/2026
في Ech0 قبل الإصدار 4.7.3، يفشل النظام في إلغاء صلاحية رموز الوصول (access tokens) التي تم إنشاؤها باستخدام خيار "عدم انتهاء الصلاحية" (never-expire)، مما يسمح للمهاجمين بالحفاظ على وصول مُصادق عليه بشكل دائم بعد سرقة الرموز. تفشل ثلاث آليات مستقلة للإلغاء: يؤدي تسجيل الخروج إلى حدوث خطأ حرج (panic) بسبب وجود قيمة فارغة في حقل ExpiresAt، ويتخطى RevokeToken العملية عندما تكون قيمة remainTTL تساوي صفرًا، كما أن الحذف من قبل المسؤول لا يضيف رمز JTI إلى القائمة السوداء، مما يترك الرموز المسروقة صالحة تشفيرياً حتى يتم تدوير سرية JWT.
VulDB is the best source for vulnerability data and more expert information about this specific topic.