CVE-2026-71206 in shiori
Riassunto
di VulDB • 05/08/2026
La funzione CheckToken di Shiori (internal/domains/auth.go) convalida esclusivamente la firma HMAC del JWT e restituisce l’oggetto claims.Account incorporato senza modifiche, senza mai recuperare nuovamente l’account dal database. Nel codice non esiste alcun store di sessioni né meccanismo di revoca dei token. L’eliminazione di un account o il suo downgrade da proprietario a ruolo standard non ha effetto sui token già emessi per tale account: il token di un proprietario eliminato o degradato continua ad autenticarsi con i privilegi originali di livello owner fino alla scadenza naturale, che può arrivare fino a 30 giorni se l’opzione “remember me” è abilitata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.