CVE-2026-79664
Təsvir
4.7.3 versiyasından əvvəlki Ech0, "never-expire" seçimi ilə yaradılmış giriş tokenlərini düzgün şəkildə ləğv etmir və bu, hücumçulara token oğurlanmasından sonra daimi autentifikasiya olunmuş girişi saxlamağa imkan verir. Üç müstəqil ləğv mexanizmi uğursuz olur: çıxış (logout) prosesi boş olan ExpiresAt sahəsi səbəbindən panikaya düşür, RevokeToken funksiyası remainTTL sıfır olduqda əməliyyatı ötürür və admin silməsi JTI-ni qara siyahıya salmır ki, bu da oğurlanmış tokenləri JWT sirr açarı dəyişilənədək kriptoqrafik cəhətdən etibarlı saxlayır.
Necə düzəltmək olar
- github.com/lin-snow/ech01.4.8-0.20260503041146-eab62379c795 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/lin-snow/ech0Go | v < 1.4.8-0.20260503041146-eab62379c795 | 1.4.8-0.20260503041146-eab62379c795 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.