CVE-2026-71206 in shiori
Tóm tắt
Bởi VulDB • 05/08/2026
Hàm CheckToken của Shiori (internal/domains/auth.go) chỉ xác minh chữ ký HMAC của JWT và trả về đối tượng claims.Account nhúng mà không thay đổi, không bao giờ truy xuất lại tài khoản từ cơ sở dữ liệu. Không có kho lưu trữ phiên hoặc cơ chế thu hồi token nào tồn tại trong mã nguồn. Việc xóa một tài khoản hoặc hạ cấp nó từ vai trò chủ sở hữu (owner) xuống vai trò thường không ảnh hưởng đến các token đã được phát hành cho tài khoản đó — token của một chủ sở hữu bị xóa hoặc bị hạ cấp vẫn tiếp tục xác thực với đặc quyền mức chủ sở hữu ban đầu cho đến khi hết hạn tự nhiên, có thể lên tới 30 ngày nếu tính năng 'ghi nhớ tôi' (remember me) được bật.
If you want to get best quality of vulnerability data, you may have to visit VulDB.