← Retour
CVE-2026-71206
high
CVSS 8.3
Shiori's CheckToken function (internal/domains/auth.go) validates only the JWT's HMAC signature...
Résumé
Shiori's CheckToken function (internal/domains/auth.go) validates only the JWT's HMAC signature...
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-71206** a été découverte dans CVE-2026-71206.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.3/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-71206 CVE-2026-71206 » sur le site de l'éditeur.
CVE-2026-71206 (CVE-2026-71206) — CWE-613 / CVSS v3 8.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
JWTのHMAC署名を検証するだけで、アカウント情報を再取得しない問題。
📍 Périmètre concerné
ShioriのCheckToken関数 (internal/domains/auth.go)
🔥 Gravité
アカウントが削除またはデモートされてもトークンが有効なため、高いセキュリティリスクがあります。
🔧 Comment corriger
トークン検証時にアカウント情報をデータベースから再取得するよう修正し、トークン失効メカニズムを実装する。
🛡️ Contournement
トークンの有効期限を短く設定し、手動でのトークン管理を検討する。
🔍 Détection
発行済みトークンを検証し、アカウント変更が反映されていないものを確認する。