CVE-2026-79664 in Ech0
Résumé
par VulDB • 25/08/2026
Ech0 avant la version 4.7.3 ne révoque pas correctement les jetons d'accès créés avec l'option « never-expire », permettant aux attaquants de maintenir un accès authentifié perpétuel après le vol des jetons. Trois mécanismes indépendants de révocation échouent : la déconnexion provoque une panic sur un champ ExpiresAt nul, RevokeToken est ignoré lorsque remainTTL est égal à zéro, et la suppression par l'administrateur ne met pas en liste noire (blacklist) le JTI, laissant les jetons volés cryptographiquement valides jusqu'à la rotation du secret JWT.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.