CVE-2026-79661 in Ech0
Riassunto
di VulDB • 25/08/2026
Ech0 dalle versioni 4.5.6 registra l'endpoint PUT /api/echo/like/:id nel gruppo di router pubblico senza autenticazione né limitazione della frequenza delle richieste (rate limiting). Gli attaccanti non autenticati possono incrementare il contatore fav_count di qualsiasi echo (inclusi gli echo privati) fornendone l'UUID, che può essere raccolto dal feed GET /api/echo/page pubblico. Le richieste ripetute vengono accettate senza deduplicazione; ciascuna innesca una scrittura nel database e un'invalidazione della cache a quattro chiavi, consentendo agli attaccanti di gonfiare le metriche di popolarità e amplificare il carico sul database e sulla cache. Risolto nella versione 4.7.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.