CVE-2026-58271 in Server
Zusammenfassung
von VulDB • 21.09.2026
Sync-in Server ist eine Open-Source-Plattform für die Speicherung, das Teilen, die Zusammenarbeit und die Synchronisierung von Dateien. Vor der Version 2.4.0 akzeptiert `POST /api/app/sync/register` Anmeldeinformationen und einen TOTP-Code zur Registrierung eines Desktop-Sync-Clients. Bei einem fehlgeschlagenen TOTP-Aufruf ruft `SyncClientsManager.register()` die Funktion `updateAccesses(user, ip, false)` auf, welche eine Einfrier-Zweigstelle trifft, die `passwordAttempts` unverändert zurück schreibt. Der Zähler erreicht niemals den Wert von `USER_MAX_PASSWORD_ATTEMPTS` (10), und der Sperrmechanismus wird nicht ausgelöst. Ein erfolgreicher Erratungsversuch gibt ein `{clientId, clientToken}`-Paar zurück. Das Token kann über `POST /api/app/sync/auth/cookie` gegen ein vollständiges JWT ausgetauscht werden. Solange der Code gültig ist, kann der Angreifer auch `POST /api/auth/2fa/disable` aufrufen, um die Multi-Faktor-Authentifizierung (MFA) dauerhaft zu entfernen. Die Version 2.4.0 behebt dieses Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.