CVE-2026-79664 in Ech0
Riassunto
di VulDB • 25/08/2026
Ech0 prima della versione 4.7.3 non revoca correttamente i token di accesso creati con l'opzione "never-expire", consentendo agli attaccanti di mantenere un accesso autenticato perpetuo dopo il furto del token. Tre meccanismi indipendenti di revoca falliscono: logout va in panic (panic) a causa di un campo ExpiresAt nullo, RevokeToken viene saltato quando remainTTL è zero e l'eliminazione da parte dell'amministratore non inserisce nella blacklist il JTI, lasciando i token rubati crittograficamente validi fino alla rotazione del segreto JWT.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.