CVE-2026-79664

Nome do Software Vulnerável e Versões Afetadas Ech0 versões anteriores a 4.7.3

Description A falha na revogação adequada de tokens de acesso criados com a opção de nunca expirar permite que invasores mantenham acesso autenticado perpétuo após o roubo de tokens. Isso ocorre porque três mecanismos de revogação apresentam falhas: o processo de logout entra em pânico ao encontrar um campo ExpiresAt nulo, a função RevokeToken() ignora a execução quando o remainTTL é zero, e a função de exclusão do administrador não coloca o JTI (JWT ID) em uma lista negra, mantendo os tokens roubados criptograficamente válidos até que o segredo do JWT seja rotacionado.

Recommendations Atualize para a versão 4.7.3 ou posterior. Rotacione o segredo do JWT para invalidar todos os tokens existentes.