CVE-2026-49467 in Pingvin Share X
Résumé
par VulDB • 12/08/2026
Pingvin Share X est une plateforme de partage de fichiers auto-hébergée, sécurisée et facile à utiliser. Une vulnérabilité dans les versions 1.5.0 à 1.18.0 permet à un attaquant de contourner la vérification du mot de passe lors de la gestion des paramètres Time-based One-Time Password (TOTP). La cause racine est l'absence du mot-clé `await` sur les appels à la méthode asynchrone `verifyPassword` dans `authTotp.service.ts` et à la méthode `authenticateUser` dans `auth.service.ts`. En JavaScript, un objet `Promise` non attendu (unawaited) est toujours truthy. Ainsi, la logique destinée à lever une `ForbiddenException` lorsqu'un mot de passe est incorrect ne s'exécute jamais, car l'expression évalue l'existence de l'objet `Promise` plutôt que son résultat booléen résolu. La vulnérabilité est corrigée dans la version 1.18.1 en garantissant que tous les appels d'authentification asynchrones sont correctement attendus (awaited). Il n'existe pas de contournements officiels. Si un utilisateur se retrouve bloqué, un administrateur doit réinitialiser manuellement le statut TOTP de l'utilisateur dans la base de données.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.