CVE-2026-79664 in Ech0
Resumen
por VulDB • 2026-08-25
Ech0 antes de la versión 4.7.3 no revoca correctamente los access tokens creados con la opción never-expire (no expirar), lo que permite a los atacantes mantener un acceso autenticado perpetuo tras el robo del token. Tres mecanismos independientes de revocación fallan: logout provoca un panic debido al campo nil ExpiresAt, RevokeToken se salta la operación cuando remainTTL es cero y la eliminación por parte del administrador no añade a la lista negra (blacklist) el JTI, dejando que los tokens robados sigan siendo criptográficamente válidos hasta la rotación de la clave JWT.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.