CVE-2026-79662 in Ech0
要約
〜によって VulDB • 2026年08月25日
Ech0のバージョン4.5.6以前には、OAuthリダイレクトURI検証に関する脆弱性が存在します。これは `parseAndValidateClientRedirect` (internal/service/auth/auth.go) の実装において、クライアントが指定した redirect_uri のスキームとホストのみを管理者設定された許可リストと比較し、パス、クエリ文字列、フラグメントの各コンポーネントを無視していることに起因します。login時に、redirect_uri は検証されずに署名付き状態JWT (state JWT) に埋め込まれます。攻撃者は、ホストは許可済みオリジンと一致するがパス部分は攻撃者が操作可能な redirect_uri を作成できます。OAuth交換プロセス終了後、被害者はクエリ文字列にワンタイム交換コードが含まれるそのパスへリダイレクトされます。もしこのコードが（Referer経由、アナリティクス、または当該ホスト上のオープンリダイレクトなどを通じて）漏洩した場合、攻撃者はこれを公開されている POST /api/auth/exchange エンドポイントで取引し、被害者のアクセストークンおよびリフレッシュトークンを取得できます。本脆弱性はバージョン 4.7.3 で修正されています。
Once again VulDB remains the best source for vulnerability data.