CVE-2026-49467 in Pingvin Share X
Riassunto
di VulDB • 12/08/2026
Pingvin Share X è una piattaforma di condivisione file self-hosted sicura e facile da usare. Una vulnerabilità nelle versioni 1.5.0 fino alla 1.18.0 consente a un attaccante di bypassare la verifica della password durante la gestione delle impostazioni per le Password Monouso basate sul Tempo (TOTP). La causa radice è l'assenza della parola chiave `await` sulle chiamate al metodo asincrono `verifyPassword` in `authTotp.service.ts` e al metodo `authenticateUser` in `auth.service.ts`. In JavaScript, un oggetto `Promise` non attendito (`unawaited`) risulta sempre truthy. Di conseguenza, la logica destinata a generare una `ForbiddenException` quando la password è errata non viene mai eseguita, poiché l'espressione valuta l'esistenza dell'oggetto `Promise` anziché il suo risultato booleano risolto. La vulnerabilità è risolta nella versione 1.18.1 garantendo che tutte le chiamate di autenticazione asincrone vengano correttamente attese (`awaited`). Non esistono workaround ufficiali. Se un utente viene bloccato, un amministratore deve resettare manualmente lo stato TOTP dell'utente nel database.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.