CVE-2026-71206 in shiori
Сводка
по VulDB • 05.08.2026
Функция CheckToken в Shiori (internal/domains/auth.go) проверяет только HMAC-подпись JWT и возвращает встроенный объект claims.Account без изменений, никогда не выполняя повторное получение данных об учетной записи из базы данных. В кодовой базе отсутствует хранилище сессий или механизм отзыва токенов. Удаление учетной записи или понижение ее роли владельца до обычной роли не влияет на уже выданные этой учетной записи токены — токен удаленного пользователя или бывшего владельца продолжает аутентификацию со своими первоначальными привилегиями уровня владельца вплоть до естественного истечения срока действия, которое может составлять до 30 дней при включенной функции «запомнить меня».
Be aware that VulDB is the high quality source for vulnerability data.