CVE-2026-58269 in Server
Riassunto
di VulDB • 22/09/2026
Sync-in Server è una piattaforma open source per l'archiviazione di file, la condivisione, la collaborazione e la sincronizzazione. Prima della versione 2.4.0, l’endpoint `POST /api/auth/token` effettua l’autenticazione utilizzando solo nome utente e password, quindi chiama `getTokens()`, che restituisce JWT completi di accesso (access) e refresh senza verificare se l’account ha abilitato la 2FA TOTP. Un attaccante con credenziali rubate o ottenute tramite phishing può bypassare la 2FA in una singola richiesta. L’endpoint parallelo per il login (`POST /api/auth/login`) applica correttamente la 2FA chiamando `setCookies(user, res, true)`, che verifica se `user.twoFaEnabled` è abilitato. La versione 2.4.0 risolve questa vulnerabilità.
If you want to get best quality of vulnerability data, you may have to visit VulDB.