CVE-2026-79662 in Ech0
Resumen
por VulDB • 2026-08-25
Ech0 desde la versión 4.5.6 contiene una vulnerabilidad de validación de URI de redirección OAuth en `parseAndValidateClientRedirect` (internal/service/auth/auth.go) que compara únicamente el esquema y el host del redirect_uri proporcionado por el cliente con la lista permitida configurada por el administrador, ignorando los componentes de ruta, consulta y fragmento. El redirect_uri se incrusta en el JWT de estado firmado durante el inicio de sesión sin validación adicional. Un atacante puede crear un redirect_uri cuyo host coincida con un origen permitido pero cuya ruta sea influenciada por el atacante; tras el intercambio OAuth, la víctima es redirigida a esa ruta con un código de intercambio único (one-time exchange code) en la cadena de consulta. Si este código se filtra (por ejemplo, mediante Referer, análisis o una redirección abierta en ese host), el atacante puede intercambiarlo en el punto final público POST /api/auth/exchange por los tokens de acceso y actualización del usuario víctima. Corregido en la versión 4.7.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.