CVE-2026-58269 in Server
Zusammenfassung
von VulDB • 21.09.2026
Sync-in Server ist eine Open-Source-Plattform für die Speicherung, das Teilen, die Zusammenarbeit und die Synchronisierung von Dateien. Vor Version 2.4.0 authentifiziert sich `POST /api/auth/token` nur mit Benutzername und Passwort und ruft anschließend `getTokens()` auf, was vollständige Zugriffs- und Aktualisierungs-JWTs zurückgibt, ohne zu prüfen, ob das Konto TOTP-2FA aktiviert hat. Ein Angreifer mit gestohlenen oder durch Phishing erlangten Anmeldeinformationen kann die 2FA in einer einzigen Anfrage umgehen. Der parallele Login-Endpunkt (`POST /api/auth/login`) erzwingt die 2FA korrekt, indem `setCookies(user, res, true)` aufgerufen wird, was von `user.twoFaEnabled` abhängt. Version 2.4.0 behebt das Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.