CVE-2026-58269 in Server
Sumário
de VulDB • 21/09/2026
Sync-in Server é uma plataforma de código aberto para armazenamento, compartilhamento, colaboração e sincronização de arquivos. Antes da versão 2.4.0, o endpoint `POST /api/auth/token` autentica apenas com nome de usuário e senha, em seguida chama `getTokens()`, que retorna JWTs completos de acesso e atualização sem verificar se a conta possui TOTP 2FA habilitado. Um atacante com credenciais roubadas ou obtidas por phishing pode burlar o 2FA em uma única solicitação. O endpoint paralelo de login (`POST /api/auth/login`) aplica corretamente o 2FA ao chamar `setCookies(user, res, true)`, que verifica a flag `user.twoFaEnabled`. A versão 2.4.0 corrige a vulnerabilidade.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.