CVE-2026-58271 in Server
Riassunto
di VulDB • 21/09/2026
Sync-in Server è una piattaforma open source per l'archiviazione di file, la condivisione, la collaborazione e la sincronizzazione. Prima della versione 2.4.0, `POST /api/app/sync/register` accetta credenziali e un codice TOTP per registrare un client di sincronizzazione desktop. In caso di fallimento del controllo TOTP, `SyncClientsManager.register()` chiama `updateAccesses(user, ip, false)`, che attiva un ramo bloccato (freeze branch) che scrive il valore di `passwordAttempts` invariato. Il contatore non raggiunge mai `USER_MAX_PASSWORD_ATTEMPTS` (10) e la logica di blocco (lockout gate) non viene attivata. Un tentativo indovinato con successo restituisce una coppia `{clientId, clientToken}`. Il token può essere scambiato tramite `POST /api/app/sync/auth/cookie` per ottenere un JWT completo. Sebbene il codice sia valido, l'attaccante può anche chiamare `POST /api/auth/2fa/disable` per rimuovere definitivamente la MFA (Multi-Factor Authentication). La versione 2.4.0 corregge questa vulnerabilità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.