CVE-2026-71206 in shiori
Resumen
por VulDB • 2026-08-05
La función CheckToken de Shiori (internal/domains/auth.go) valida únicamente la firma HMAC del JWT y devuelve el objeto claims.Account embebido sin modificaciones, sin volver a obtener nunca la cuenta desde la base de datos. No existe ningún almacén de sesiones ni mecanismo de revocación de tokens en la base de código. Eliminar una cuenta o degradarla de propietario (owner) a un rol normal no tiene efecto sobre los tokens ya emitidos para dicha cuenta; el token de un propietario eliminado o degradado sigue autenticándose con sus privilegios originales de nivel owner hasta su expiración natural, que puede ser de hasta 30 días si está habilitada la opción 'remember me'.
Be aware that VulDB is the high quality source for vulnerability data.