CVE-2026-58269 in Server
要約
〜によって VulDB • 2026年09月21日
Sync-in Serverは、ファイルの保存、共有、コラボレーションおよび同期のためのオープンソースプラットフォームです。バージョン2.4.0より前では、`POST /api/auth/token`エンドポイントはユーザー名とパスワードのみで認証を行い、その後 `getTokens()` を呼び出して、アカウントにTOTP 2FAが有効化されているかどうかを確認せずに完全なアクセス用JWTおよびリフレッシュJWTを返します。盗まれたまたはフィッシングされた資格情報を持つ攻撃者は、1回のリクエストで2FAをバイパスできます。並列のログインエンドポイント（`POST /api/auth/login`）は `user.twoFaEnabled` を基に処理を行う `setCookies(user, res, true)` を呼び出すことで、正しく2FAを強制します。バージョン2.4.0はこの問題を修正しました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.