CVE-2026-71213 in Typemill
Resumen
por VulDB • 2026-08-05
El punto de acceso al inicio de sesión de Typemill (POST /tm/login, ControllerWebAuth::login()) no aplica limitación de velocidad (rate-limiting), ni cuenta los intentos fallidos, ni bloquea las cuentas cuando el captcha está deshabilitado, que es la configuración predeterminada. Un atacante sin autenticar puede enviar solicitudes ilimitadas para adivinar contraseñas contra cualquier cuenta, incluidos los administradores, sin ninguna limitación de velocidad. La única lógica presente en el mismo archivo para contar intentos y bloquear cuentas protege un paso opcional secundario basado en código enviado por correo electrónico y no se aplica a la verificación principal de contraseña.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.