CVE-2026-58269 in Server
الملخص
بحسب VulDB • 21/09/2026
Sync-in Server هو منصة مفتوحة المصدر لتخزين الملفات ومشاركتها والتعاون فيها والمزامنة معها. قبل الإصدار 2.4.0، كان يُجري نقطة النهاية `POST /api/auth/token` المصادقة باستخدام اسم المستخدم وكلمة المرور فقط، ثم تستدعي الدالة `getTokens()` التي تُرجع رموز JWT كاملة الصلاحية (وصول وتحديث) دون التحقق مما إذا كان الحساب مفعّلاً عليه ثنائي العوامل (TOTP 2FA). يمكن لمهاجم يمتلك بيانات اعتماد مسروقة أو مُخادَع بها تجاوز المصادقة الثنائية في طلب واحد. نقطة النهاية المتوازية للتسجيل (`POST /api/auth/login`) تُفرض بشكل صحيح استخدام المصادقة الثنائية عن طريق استدعاء `setCookies(user, res, true)`، الذي يشترط أن يكون `user.twoFaEnabled` مفعّلاً. يُصلح الإصدار 2.4.0 هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.