CVE-2026-71206

Nome do Software Vulnerável e Versões Afetadas Shiori (versões afetadas não especificadas)

Descrição A função CheckToken() em internal/domains/auth.go valida apenas a assinatura HMAC do JSON Web Token (JWT) e retorna o objeto Account incorporado sem buscar novamente os dados da conta no banco de dados. Como o sistema carece de um armazenamento de sessão ou mecanismo de revogação de tokens, alterações em uma conta — como a exclusão ou a rebaixamento de proprietário para uma função regular — não afetam os tokens existentes. Consequentemente, um token emitido para um proprietário excluído ou rebaixado permanece válido e mantém os privilégios originais de nível de proprietário até expirar, o que pode levar até 30 dias se a opção remember me estiver ativada.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.