PT-2026-57840 · Shiori · Shiori

George Chen · Publicado 2026-07-13 · Atualizado 2026-07-13 · CVE-2026-61463

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Shiori (versões afetadas não especificadas)

Descrição Existe um problema no endpoint de atualização de conta que permite que usuários autenticados modifiquem o campo owner sem as devidas verificações de autorização. Ao enviar uma requisição PATCH manipulada com owner: true, um invasor pode elevar seus privilégios para administrador. Após essa modificação, a reautenticação permite que o usuário obtenha um JSON Web Token (JWT) de administrador, que é um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes, concedendo acesso total ao sistema.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-61463

Produtos afetados

Shiori

Referências · 6

• 🔥 https://github.com/go-shiori/shiori/issues/1196 · Exploit
• https://github.com/go-shiori/shiori/commit/6c8a7dbc11b131609bfda736b14d61c51f9027b2 · Correção
• https://github.com/go-shiori/shiori · Nota
• https://twitter.com/VulmonFeeds/status/2076798612110024716 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-61463 · Nota de Segurança
• https://vulncheck.com/advisories/shiori-authenticated-privilege-escalation-via-patch-api-v1-auth-account · Nota