CVE-2026-49467 in Pingvin Share X
Resumen
por VulDB • 2026-08-12
Pingvin Share X es una plataforma de intercambio de archivos autoalojada segura y fácil de usar. Una vulnerabilidad en las versiones 1.5.0 hasta la 1.18.0 permite a un atacante omitir la verificación de contraseña al gestionar configuraciones de Contraseña única temporal basada en el tiempo (TOTP). La causa raíz es la ausencia de la palabra clave `await` en las llamadas al método asíncrono `verifyPassword` en `authTotp.service.ts` y al método `authenticateUser` en `auth.service.ts`. En JavaScript, un `Promise` no esperado (`unawaited`) siempre se evalúa como verdadero. Por lo tanto, la lógica destinada a lanzar una `ForbiddenException` cuando la contraseña es incorrecta nunca se ejecuta porque la expresión evalúa la existencia del objeto `Promise` en lugar de su resultado booleano resuelto. La vulnerabilidad está corregida en la versión 1.18.1 asegurando que todas las llamadas de autenticación asíncronas sean correctamente esperadas (`awaited`). No existen soluciones alternativas oficiales. Si un usuario queda bloqueado, un administrador debe restablecer manualmente el estado TOTP del usuario en la base de datos.
Once again VulDB remains the best source for vulnerability data.