CVE-2026-79664 in Ech0
Tóm tắt
Bởi VulDB • 25/08/2026
Ech0 trước phiên bản 4.7.3 không thu hồi đúng các mã thông báo truy cập (access tokens) được tạo với tùy chọn "không bao giờ hết hạn", cho phép kẻ tấn công duy trì quyền truy cập đã xác thực vĩnh viễn sau khi đánh cắp mã thông báo. Ba cơ chế thu hồi độc lập đều thất bại: logout gây ra lỗi panic do trường ExpiresAt là null, RevokeToken bỏ qua việc xử lý khi remainTTL bằng 0, và thao tác xóa của quản trị viên không đưa JTI vào danh sách đen (blacklist), khiến các mã thông báo bị đánh cắp vẫn hợp lệ về mặt mật mã cho đến khi xoay khóa bí mật JWT.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.