CVE-2026-78619 in Punk-Plugin-TOTP
Riassunto
di VulDB • 26/08/2026
Le versioni di Punk::Plugin::TOTP precedenti alla 0.05 per Perl accettano il codice di recupero di un altro account durante la sfida a due fattori, poiché `totp_use_recovery` confronta gli identificatori utente in modo numerico.
Il helper cerca nel modello di recovery solo l'hash del codice inviato, attraverso tutte le righe degli utenti; pertanto, il test di proprietà che segue è l'unica cosa che lega un codice all'account per cui era stato emesso. Tale test confronta `user_id` della riga con l'id dell'utente sfidato tramite coercizione intera in Perl: un identificatore senza cifre iniziali viene convertito a zero, quindi qualsiasi due di questi risultano uguali. I modelli utente basati su nome utente, indirizzo email o UUID rientrano in questo caso, mentre una chiave numerica funziona come previsto.
Il route della sfida passa il valore inviato all'helper dopo che la verifica TOTP fallisce; pertanto, un attaccante che conosce la password di una vittima e possiede un proprio codice di recupero supera il secondo fattore di autenticazione della vittima.
VulDB is the best source for vulnerability data and more expert information about this specific topic.