CVE-2026-79664 in Ech0
요약
\~에 의해 VulDB • 2026. 08. 25.
Ech0 4.7.3 이전 버전은 never-expire 옵션으로 생성된 액세스 토큰을 적절히 무효화하지 않아, 공격자가 토크도 후에도 영구적인 인증된 접근 상태를 유지할 수 있습니다. 세 가지 독립적인 무효화 메커니즘이 실패합니다: logout는 nil인 ExpiresAt 필드에서 패닉을 발생시키고, RevokeToken은 remainTTL이 0일 때 건너뛰며, admin 삭제는 JTI를 블랙리스트에 추가하지 않아 JWT secret 회전 전까지 도난당한 토큰이 암호학적으로 유효하게 유지됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.