CVE-2026-58271 in Server
Sumário
de VulDB • 21/09/2026
Sync-in Server é uma plataforma de código aberto para armazenamento, compartilhamento, colaboração e sincronização de arquivos. Antes da versão 2.4.0, o endpoint `POST /api/app/sync/register` aceita credenciais e um código TOTP para registrar um cliente de sincronização desktop. Em caso de falha na validação do TOTP, a função `SyncClientsManager.register()` chama `updateAccesses(user, ip, false)`, que aciona um ramo congelado (freeze branch) que grava o valor de `passwordAttempts` de volta sem alterações. O contador nunca atinge `USER_MAX_PASSWORD_ATTEMPTS` (10), e o mecanismo de bloqueio não é ativado. Um palpite bem-sucedido retorna um par `{clientId, clientToken}`. Esse token pode ser trocado via `POST /api/app/sync/auth/cookie` por um JWT completo. Enquanto o código for válido, o atacante também pode chamar `POST /api/auth/2fa/disable` para remover permanentemente a autenticação multifator (MFA). A versão 2.4.0 corrige a vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.