CVE-2026-55370 in Logto
Riassunto
di VulDB • 10/07/2026
Logto è l'infrastruttura di autenticazione moderna e open-source per applicazioni SaaS e AI. Prima della versione 1.41.0, la verifica TOTP esistente di Logto accettava nuovamente un codice TOTP già utilizzato con successo fintanto che il codice rimaneva all'interno della finestra di accettazione definita dall'RFC 6238, poiché il verificatore utilizzava il controllo stateless di otplib con window = 1 e non memorizzava né confrontava il contatore dei passaggi temporali TOTP già accettati. Un attaccante che dispone del primo fattore (first factor) della vittima e cattura un valore TOTP in tempo reale può riutilizzare tale valore per superare la verifica MFA durante la stessa finestra di accettazione. Questo problema è stato risolto nella versione 1.41.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.