CVE-2026-71206
shiori - JWT CheckToken لا يعيد التحقق من حالة الحساب أبدًا، مما يسمح بالوصول بصلاحيات قديمة بعد الحذف أو تخفيض الصلاحيات
- تم النشر
- 05/08/2026
- محدث
- 10/08/2026
- تخصيص CNA
- TuranSec
- الأدلة المرصودة
- 17/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Lمنخفض · الثلاثين يومًا القادمة
- المئوية
- 20.7%
- تاريخ الموديل
- 21/09/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
دالة CheckToken في Shiori (internal/domains/auth.go) تتحقق فقط من توقيع HMAC الخاص بـ JWT وتُعيد كائن claims.Account المضمّن دون أي تعديل، دون إعادة جلب الحساب من قاعدة البيانات إطلاقًا. لا يوجد مخزن جلسات أو آلية لإبطال الرموز في قاعدة الكود.
المصادر
1PoC: Shiori JWT CheckToken لا يعيد التحقق من حالة الحساب أبدًا (CVE-2026-71206، خطورة عالية 8.2)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.