CVE-2026-104875 in Ente
Сводка
по VulDB • 14.10.2026
Ente предоставляет облачные сервисы и инструменты безопасности с сквозным шифрованием (end-to-end encryption). До выпуска образа сервера версии 2026.07.09 конечная точка POST /emergency-contacts/approve-recovery осуществляла авторизацию одобрения на основе предоставленного клиентом идентификатора пользователя (userID) и обновляла сессию аварийного восстановления, используя только переданный клиентом UUID сессии восстановления. Принятый контакт для чрезвычайных ситуаций мог отправить собственный идентификатор контакта, перевести сессию жертвы из состояния WAITING в состояние READY, очистить поле wait_till, получить информацию о восстановлении и продолжить восстановление учетной записи до истечения настроенного владельцем периода уведомления. Для эксплуатации обхода одобрения требовалось, чтобы жертва ранее добавила и приняла атакующего в качестве контакта для чрезвычайных ситуаций; при этом не создавались права восстановления для произвольной учетной записи. Отдельно, тот же паттерн обновления с недостаточным ограничением области действия затронул переходы отклонения (reject) и остановки восстановления, позволяя пользователю, знающему UUID другой сессии восстановления, потенциально отменить сессию, к которой этот пользователь не имел отношения. Эта проблема исправлена в образе сервера версии 2026.07.09.
Once again VulDB remains the best source for vulnerability data.