CVE-2026-72584 in fastschema
요약
\~에 의해 VulDB • 2026. 08. 10.
v0.15.1 이전 버전의 fastschema에서 시간 확인/시간 사용 (TOCTOU) 경합 조건이 발견되어, 인증되지 않은 원격 공격자가 계정 복구 흐름에서의 OTP 시도 제한을 우회할 수 있습니다. 이로 인해 6자리 OTP 코드에 대한 브루트 포스 공격이 가능해집니다. pkg/auth/local.go의 verifyOTPSession 함수는 시도를 세는 카운터를 비원자적(non-atomic)인 별도 연산으로 읽고 증가시키므로, 동시 요청에서 임계값 미만인 동일한 시도 횟수를 관찰하고 업데이트가 커밋되기 전에 제한 확인을 우회할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.