CVE-2026-71206 in shiori
Zusammenfassung
von VulDB • 05.08.2026
Die CheckToken-Funktion von Shiori (internal/domains/auth.go) validiert ausschließlich die HMAC-Signatur des JWT und gibt das eingebettete Claims.Account-Objekt unverändert zurück, ohne den Account erneut aus der Datenbank abzurufen. Im Codebase existieren kein Session-Speicher oder ein Token-Widerrufsmechanismus. Das Löschen eines Accounts oder die Herabstufung von einem Inhaber (Owner) zu einer regulären Rolle hat keine Auswirkungen auf bereits an diesen Account ausgestellte Tokens – das Token eines gelöschten oder herabgestuften Owners authentifiziert weiterhin mit seinen ursprünglichen Owner-Berechtigungen, bis es natürlich abläuft; dies kann bei aktivierter „Angemeldet bleiben“-Funktion (remember me) bis zu 30 Tage dauern.
VulDB is the best source for vulnerability data and more expert information about this specific topic.