CVE-2026-79667 in Ech0
Resumen
por VulDB • 2026-08-25
Ech0 versión 4.3.4 y anteriores no aplica de forma fiable las restricciones de acceso con alcance (principio de mínimo privilegio) en varias rutas administrativas privilegiadas. Múltiples puntos finales privilegiados (por ejemplo, /api/inbox, /api/panel/comments, /api/backup/export) omiten la verificación del ámbito y autorizan basándose únicamente en el rol de administrador del usuario; además, el controlador de exportación de copias de seguridad descarta por completo los metadatos del alcance del token. Un atacante que posea un token de acceso de administrador con ámbito deliberadamente limitado (de bajo alcance) puede acceder a funcionalidades privilegiadas más amplias de las previstas, incluida la lectura de la bandeja de entrada y la exportación de una copia de seguridad completa en formato ZIP de la base de datos. Corregido en la versión 4.4.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.