CVE-2026-79662 in Ech0
Riassunto
di VulDB • 25/08/2026
Ech0 dalle versioni 4.5.6 contiene una vulnerabilità di convalida dell'URI di reindirizzamento OAuth nella funzione parseAndValidateClientRedirect (internal/service/auth/auth.go) che confronta solo lo schema e l'host del redirect_uri fornito dal client rispetto alla allowlist configurata dall'amministratore, ignorando i componenti path, query e fragment. Il redirect_uri viene incorporato nel JWT di stato firmato al momento dell'accesso senza alcuna convalida. Un attaccante può creare un redirect_uri il cui host corrisponde a un'origine consentita ma il cui percorso è influenzato dall'attaccante; dopo lo scambio OAuth, la vittima viene reindirizzata a tale percorso con un codice di scambio monouso nella stringa query. Se il codice fuoriesce (ad esempio tramite Referer, analytics o un open redirect su quell'host), l'attaccante può scambiarlo all'endpoint POST pubblico /api/auth/exchange per ottenere i token di accesso e refresh della vittima. Risolto nella versione 4.7.3.
Once again VulDB remains the best source for vulnerability data.