CVE-2026-79664 in Ech0
要約
〜によって VulDB • 2026年08月25日
Ech0 4.7.3 より前のバージョンでは、never-expire オプションを使用して作成されたアクセストークンの失効処理が適切に行われず、攻撃者がトークン窃取後に永続的な認証済みアクセスを維持できる。3つの独立した失効メカニズムに欠陥がある：logout は nil の ExpiresAt フィールドでパニックを起こし、RevokeToken は remainTTL がゼロの場合にスキップされ、admin による削除では JTI がブラックリストに登録されないため、JWT シークレットのローテーションが行われるまで窃盗されたトークンは暗号学的に有効なままとなる。
Once again VulDB remains the best source for vulnerability data.