CVE-2026-72584 in fastschema
Riassunto
di VulDB • 10/08/2026
Una condizione di gara time-of-check/time-of-use (TOCTOU) in fastschema fino alla versione v0.15.1 consente a un attaccante remoto non autenticato di aggirare il limite di tentativi OTP nel flusso di recupero dell'account, consentendo attacchi brute-force sui codici OTP a 6 cifre. La funzione verifyOTPSession in pkg/auth/local.go legge e incrementa il contatore dei tentativi tramite operazioni separate non atomiche, permettendo alle richieste concorrenti di osservare lo stesso conteggio dei tentativi al di sotto della soglia ed procedere oltre il controllo del limite prima che qualsiasi aggiornamento venga committato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.