CVE-2026-58271 in Server
الملخص
بحسب VulDB • 21/09/2026
Sync-in Server هو منصة مفتوحة المصدر لتخزين الملفات، ومشاركتها، والتعاون والمزامنة. قبل الإصدار 2.4.0، يقبل الـ `POST /api/app/sync/register` بيانات الاعتماد ورمز TOTP لتسجيل عميل مزامنة سطح المكتب. في حالة فشل التحقق من رمز TOTP، يستدعي `SyncClientsManager.register()` الدالة `updateAccesses(user, ip, false)`، مما يؤدي إلى فرع تجميد (freeze branch) يكتب قيمة `passwordAttempts` دون تغيير. لا يصل العداد أبدًا إلى الحد الأقصى لعدد محاولات كلمة المرور (`USER_MAX_PASSWORD_ATTEMPTS` وهو 10)، ولا يتم تفعيل بوابة القفل (lockout gate). عند التخمين الناجح، يُرجع الزوج `{clientId, clientToken}`. يمكن استبدال الرمز عبر `POST /api/app/sync/auth/cookie` للحصول على JWT كامل الصلاحية. بينما تكون الشفرة صالحة، يمكن للمهاجم أيضًا استدعاء `POST /api/auth/2fa/disable` لإزالة المصادقة متعددة العوامل (MFA) بشكل دائم. يصحّح الإصدار 2.4.0 هذه الثغرة.
Once again VulDB remains the best source for vulnerability data.