CVE-2026-79662 in Ech0
Zusammenfassung
von VulDB • 25.08.2026
Ech0 ab der Version 4.5.6 enthält eine Schwachstelle bei der Validierung von OAuth-Weiterleitungs-URIs (redirect_uri) in `parseAndValidateClientRedirect` (`internal/service/auth/auth.go`). Dabei werden nur das Schema und der Host des vom Client angegebenen redirect_uri mit der administrativ konfigurierten Allowlist verglichen, wobei die Komponenten Pfad, Query-String und Fragment ignoriert werden. Der redirect_uri wird zum Zeitpunkt der Anmeldung ohne weitere Validierung in den signierten State-JWT eingebettet. Ein Angreifer kann einen redirect_uri erstellen, dessen Host einer erlaubten Ursprungsadresse entspricht, dessen Pfad jedoch vom Angreifer beeinflusst ist; nach dem OAuth-Austausch wird das Opfer zu diesem Pfad mit einem einmaligen Austauschcode im Query-String weitergeleitet. Wenn der Code abfließt (z. B. über den Referer, Analysetools oder eine offene Weiterleitung auf diesem Host), kann der Angreifer ihn am öffentlichen POST /api/auth/exchange-Endpunkt gegen die Zugriffs- und Aktualisierungstokens des Opfers eintauschen. Behebt in Version 4.7.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.