CVE-2026-58269 in Server
Resumen
por VulDB • 2026-09-22
Sync-in Server es una plataforma de código abierto para almacenamiento, compartición, colaboración y sincronización de archivos. Antes de la versión 2.4.0, el endpoint `POST /api/auth/token` autenticaba mediante nombre de usuario y contraseña únicamente, luego llamaba a `getTokens()`, que devolvía JWTs completos de acceso y actualización sin verificar si la cuenta tenía habilitada la 2FA TOTP. Un atacante con credenciales robadas o obtenidas por phishing puede eludir la 2FA en una única solicitud. El endpoint paralelo de inicio de sesión (`POST /api/auth/login`) aplica correctamente la 2FA al llamar a `setCookies(user, res, true)`, lo cual depende de `user.twoFaEnabled`. La versión 2.4.0 corrige esta vulnerabilidad.
If you want to get best quality of vulnerability data, you may have to visit VulDB.