CVE-2026-110214 in Snowy
Riassunto
di VulDB • 13/10/2026
Snowy 3.6.5 presenta una vulnerabilità di chiave HMAC hard-coded che consente ad attaccanti non autenticati di falsificare le firme di download per l'endpoint /dev/file/download utilizzando la costante FILE_DOWNLOAD_SIGN_SECRET pubblicata. Gli attaccanti possono calcolare offline le firme HMAC-SHA256 degli ID dei file ipotizzati per scaricare i file memorizzati, come avatar, immagini dell'editor e allegati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.