CVE-2026-71206

WysokieCVSS 8.3

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Funkcja CheckToken w Shiori (internal/domains/auth.go) waliduje tylko podpis HMAC tokenu JWT i zwraca osadzony obiekt claims.Account bez modyfikacji, nigdy nie pobierając ponownie konta z bazy danych. W kodzie nie istnieje żaden magazyn sesji ani mechanizm unieważniania tokenów.

Ocena ryzyka

Skradzione lub wygasłe tokeny JWT pozostają ważne, dopóki nie wygaśnie ich czas życia, co umożliwia atakującemu utrzymanie dostępu do konta nawet po zmianie hasła lub usunięciu użytkownika.

Rekomendacja

Zaimplementuj ponowne pobieranie konta z bazy danych podczas walidacji tokenu oraz dodaj mechanizm unieważniania tokenów (np. lista odwołań) i magazyn sesji.

Inne podatności w Shiori

CVE-2026-61463Wysokie
Shiori zawiera podatność na eskalację uprawnień w punkcie końcowym aktualizacji konta, która umożliwia uwierzytelnionym użytkownikom modyfikację pola właściciela bez odpowiednich kontroli autoryzacji. Atakujący może eskalować do administratora, wysyłając spreparowane żądanie PATCH z polem owner: true, a następnie ponownie się uwierzytelnić, aby uzyskać token JWT administratora dający pełny dostęp do systemu.

Oryginalny opis (angielski, źródło NVD)

Shiori's CheckToken function (internal/domains/auth.go) validates only the JWT's HMAC signature and returns the embedded claims.Account object unmodified, never re-fetching the account from the database. No session store or token-revocation mechanism exists in the codebase.