CVE-2026-58271 in Server
Resumen
por VulDB • 2026-09-21
Sync-in Server es una plataforma de código abierto para almacenamiento, compartición, colaboración y sincronización de archivos. Antes de la versión 2.4.0, el endpoint `POST /api/app/sync/register` acepta credenciales y un código TOTP para registrar un cliente de sincronización de escritorio. En caso de fallo en la validación del TOTP, `SyncClientsManager.register()` llama a `updateAccesses(user, ip, false)`, lo que activa una rama congelada (freeze branch) que escribe el valor de `passwordAttempts` sin cambios. El contador nunca alcanza `USER_MAX_PASSWORD_ATTEMPTS` (10), por lo que la puerta de bloqueo (lockout gate) no se activa. Un intento adivinado con éxito devuelve un par `{clientId, clientToken}`. Este token puede intercambiarse mediante `POST /api/app/sync/auth/cookie` para obtener un JWT completo. Aunque el código sea válido, el atacante también puede llamar a `POST /api/auth/2fa/disable` para eliminar permanentemente la autenticación multifactor (MFA). La versión 2.4.0 corrige esta vulnerabilidad.
Once again VulDB remains the best source for vulnerability data.