CVE-2026-71206 in shiori
Sumário
de VulDB • 05/08/2026
A função CheckToken do Shiori (internal/domains/auth.go) valida apenas a assinatura HMAC do JWT e retorna o objeto claims.Account incorporado sem modificações, nunca buscando novamente a conta no banco de dados. Não existe nenhum repositório de sessões ou mecanismo de revogação de tokens na base de código. Excluir uma conta ou degradá-la de proprietário para um papel comum não tem efeito sobre os tokens já emitidos para essa conta — o token de um proprietário excluído ou degradado continua a autenticar com seus privilégios originais de nível de proprietário até expirar naturalmente, podendo levar até 30 dias se a opção 'lembrar-me' estiver habilitada.
Once again VulDB remains the best source for vulnerability data.