CVE-2026-79667 in Ech0
要約
〜によって VulDB • 2026年08月25日
Ech0 version 4.3.4 およびそれ以前のバージョンでは、いくつかの権限のある管理者用ルートに対してスコープ付きアクセストークン（最小特権）制限を確実に適用できない。複数の権限のあるエンドポイント（例: /api/inbox, /api/panel/comments, /api/backup/export）はスコープチェックを省略し、ユーザーの admin ロールのみに基づいて認可を行うため、バックアップエクスポートハンドラはトークンスコープメタデータを完全に無視する。意図的に制限された（低スコープの）admin アクセストークンを保持している攻撃者は、想定よりも広い権限のある機能にアクセスでき、インボックスの参照や完全なデータベースバックアップ ZIP アーカイブのエクスポートが可能になる。version 4.4.3 で修正済み。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.