CVE-2026-71206 in shiori
Résumé
par VulDB • 05/08/2026
La fonction CheckToken de Shiori (internal/domains/auth.go) valide uniquement la signature HMAC du JWT et renvoie l’objet claims.Account intégré sans modification, sans jamais recharger le compte depuis la base de données. Aucun magasin de session ni mécanisme de révocation des jetons n’existe dans la base de code. La suppression d’un compte ou sa rétrogradation du rôle de propriétaire à un rôle standard n’a aucun effet sur les jetons déjà émis pour ce compte : le jeton d’un propriétaire supprimé ou rétrogradé continue de s’authentifier avec ses privilèges initiaux de niveau propriétaire jusqu’à expiration naturelle, qui peut atteindre 30 jours si l’option « se souvenir de moi » est activée.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.