Shiori's CheckToken function (internal/domains/auth.go) vali…(CVE-2026-71206・CVSS 8.3)

概要

Shiori's CheckToken function (internal/domains/auth.go) validates only the JWT's HMAC signature...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Shiori's CheckToken function (internal/domains/auth.go) validates only the JWT's HMAC signature and returns the embedded claims.Account object unmodified, never re-fetching the account from the database. No session store or token-revocation mechanism exists in the codebase. Deleting an account or demoting it from owner to a regular role has no effect on tokens already issued to that account — a deleted or demoted owner's token continues authenticating with its original owner-level privileges until natural expiry, which can be up to 30 days with 'remember me' enabled.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

ShioriのCheckToken関数がJWTのHMAC署名のみを検証し、アカウント情報を再取得しません。このため、削除されたアカウントでもトークンが有効のままになります。

❓ 何が問題か

JWTのHMAC署名を検証するだけで、アカウント情報を再取得しない問題。

📍 影響範囲

ShioriのCheckToken関数 (internal/domains/auth.go)

🔥 重要度

アカウントが削除またはデモートされてもトークンが有効なため、高いセキュリティリスクがあります。

🔧 修正方法

トークン検証時にアカウント情報をデータベースから再取得するよう修正し、トークン失効メカニズムを実装する。

🛡️ 暫定回避

トークンの有効期限を短く設定し、手動でのトークン管理を検討する。

🔍 検知方法

発行済みトークンを検証し、アカウント変更が反映されていないものを確認する。