CVE-2026-79661 in Ech0
Resumen
por VulDB • 2026-08-25
Ech0 desde la versión 4.5.6 registra el endpoint PUT /api/echo/like/:id en el grupo de rutas público sin autenticación ni limitación de velocidad (rate limiting). Los atacantes no autenticados pueden incrementar el contador fav_count de cualquier eco (incluidos los ecos privados) proporcionando su UUID, que puede ser obtenido del feed GET /api/echo/page público. Las solicitudes repetidas se aceptan sin deduplicación; cada una desencadena una escritura en la base de datos y una invalidación de cuatro claves en caché, lo que permite a los atacantes inflar las métricas de popularidad y amplificar la carga sobre la base de datos y el sistema de caché. Corregido en la versión 4.7.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.