CVE-2026-61463

WysokieCVSS 8.8

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Shiori zawiera podatność na eskalację uprawnień w punkcie końcowym aktualizacji konta, która umożliwia uwierzytelnionym użytkownikom modyfikację pola właściciela bez odpowiednich kontroli autoryzacji. Atakujący może eskalować do administratora, wysyłając spreparowane żądanie PATCH z polem owner: true, a następnie ponownie się uwierzytelnić, aby uzyskać token JWT administratora dający pełny dostęp do systemu.

Ocena ryzyka

Ryzyko polega na tym, że każdy uwierzytelniony użytkownik może uzyskać nieograniczony dostęp administracyjny do systemu Shiori, co może prowadzić do całkowitego przejęcia kontroli nad aplikacją i danymi.

Rekomendacja

Należy natychmiast zaktualizować Shiori do najnowszej wersji, która zawiera poprawkę usuwającą tę podatność, oraz przejrzeć i wzmocnić mechanizmy kontroli dostępu w punkcie aktualizacji konta.

Inne podatności w Shiori

CVE-2026-71206Wysokie
Funkcja CheckToken w Shiori (internal/domains/auth.go) waliduje tylko podpis HMAC tokenu JWT i zwraca osadzony obiekt claims.Account bez modyfikacji, nigdy nie pobierając ponownie konta z bazy danych. W kodzie nie istnieje żaden magazyn sesji ani mechanizm unieważniania tokenów.

Oryginalny opis (angielski, źródło NVD)

Shiori contains a privilege escalation vulnerability in the account update endpoint that allows authenticated users to modify the owner field without authorization checks. Attackers can escalate to administrator by submitting a crafted PATCH request with owner: true, then re-authenticate to obtain an admin JWT token granting full system access.