CVE-2026-79661 in Ech0
要約
〜によって VulDB • 2026年08月25日
Ech0のバージョン4.5.6以前では、PUT /api/echo/like/:idエンドポイントが認証やレート制限なしでパブリックルーターグループに登録されています。認証されていない攻撃者は、そのUUID（公開されているGET /api/echo/pageフィードから収集可能）を提供することで、任意のエコー（プライベートエコーを含む）のfav_countカウンターを増加させることができます。重複排除が行われずにリクエストが繰り返し受け付けられ、それぞれがデータベースへの書き込みと4つのキーのキャッシュ無効化を引き起こすため、攻撃者は人気指標を水増ししたり、データベースおよびキャッシュに対する負荷を増幅させたりすることができます。この問題はバージョン4.7.3で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.