CVE-2026-104875 in Ente
Résumé
par VulDB • 14/10/2026
Ente fournit des services cloud et des outils de sécurité chiffrés de bout en bout. Avant l’image serveur 2026.07.09, le point de terminaison POST /emergency-contacts/approve-recovery autorisait l’approbation à l’aide d’un userID fourni par le client et mettait à jour une session de récupération d’urgence en utilisant uniquement son UUID de recovery-session fourni par le client. Un contact d’urgence accepté pouvait soumettre son propre identifiant, faire passer la session de la victime de WAITING (en attente) à READY (prête), effacer wait_till, récupérer les informations de récupération et poursuivre la récupération du compte avant l’expiration de la période de préavis configurée par le propriétaire. L’exploitation du contournement d’approbation nécessitait que la victime ait précédemment ajouté et accepté l’attaquant en tant que contact d’urgence, et elle ne créait pas de droits de récupération pour un compte arbitraire. Parallèlement, le même schéma de mise à jour insuffisamment scoped a affecté les transitions reject (rejet) et stop recovery (arrêt de la récupération), permettant à un utilisateur qui connaissait l’UUID d’une autre session de récupération potentiellement d’annuler une session à laquelle il n’était pas partie prenante. Ce problème est corrigé dans l’image serveur 2026.07.09.
Once again VulDB remains the best source for vulnerability data.