CVE-2026-71206highCWE-613

CVE-2026-71206: falha de alta gravidade em go-shiori shiori

shiori - JWT CheckToken Never Re-Validates Account State, Allowing Stale-Privilege Access After Deletion or Demotion

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar shiori

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 8.2epss 0.4%
da publicação à arma11 dias
Publicada no NVD5 de ago.
1ª PoC+11d
Shiori's CheckToken function (internal/domains/auth.go) validates only the JWT's HMAC signature and returns the embedded claims.Account object unmodified, never re-fetching the account from the database. No session store or token-revocation mechanism exists in the codebase.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
Produtos afetados
go-shiori · shiori
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — go-shiori shiori

No mesmo produto, das mais perigosas para as menos.

CVE-2026-61463HIGHShiori Authenticated Privilege Escalation via PATCH /api/v1/auth/accountEPSS 0.5%CVE-2026-71280HIGHgo-shiori Server-Side Request Forgery via Unrestricted Bookmark URL FetchEPSS 0.3%