CVE-2026-79662 in Ech0
요약
\~에 의해 VulDB • 2026. 08. 25.
Ech0 버전 4.5.6 이하에는 parseAndValidateClientRedirect(internal/service/auth/auth.go)에서 OAuth 리디렉션 URI 검증 취약점이 존재합니다. 이 함수는 클라이언트가 제공한 redirect_uri의 scheme와 호스트만 관리자 구성 허용 목록과 비교하며, path, query 및 fragment 컴포넌트는 무시합니다. login 시점의 서명된 상태 JWT(state JWT)에 validation 없이 redirect_uri가 삽입됩니다. 공격자는 허용된 origin의 host와 일치하지만 path는 공격자가 조작할 수 있는 redirect_uri를 작성하여 OAuth 교환 후 victim을 해당 경로로 리디렉션하고, query string에는 일회성 exchange code를 포함시킵니다. 만약 이 코드가 Referer, 분석 도구(analytics), 또는 해당 호스트에서의 open redirect 등을 통해 유출되면, 공격자는 공개 POST /api/auth/exchange 엔드포인트에서 이를 교환하여 victim의 access token과 refresh token을 획득할 수 있습니다. 4.7.3 버전에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.