CVE-2026-79662

Ech0 4.5.6 sürümüne kadar olan versiyonlar, parseAndValidateClientRedirect (internal/service/auth/auth.go) fonksiyonunda, istemci tarafından sağlanan redirect_uri'nin yalnızca şema ve ana bilgisayarını (host) yönetici tarafından yapılandırılan izin verilenler listesiyle karşılaştıran, yol (path), sorgu (query) ve fragman bileşenlerini görmezden gelen bir OAuth yönlendirme URI doğrulaması zafiyeti içermektedir. redirect_uri, giriş sırasında herhangi bir doğrulama yapılmadan imzalı state JWT içerisine yerleştirilmektedir. Bir saldırgan, ana bilgisayarı izin verilen bir kökenle eşleşen ancak yolu kendisi tarafından belirlenen bir redirect_uri oluşturabilir; OAuth değişimi sonrası mağdur, sorgu dizesinde tek seferlik bir değişim koduyla birlikte bu yola yönlendirilir. Eğer kod sızarsa (örneğin Referer, analiz araçları veya söz konusu ana bilgisayardaki açık bir yönlendirme aracılığıyla), saldırgan bu kodu genel POST /api/auth/exchange uç noktasına ileterek mağdurun erişim ve yenileme belirteçlerini (access and refresh tokens) elde edebilir. 4.7.3 sürümünde düzeltilmiştir.