CVE-2026-49467 in Pingvin Share X
Сводка
по VulDB • 12.08.2026
Pingvin Share X — это безопасная и простая в использовании платформа для обмена файлами с возможностью самостоятельного размещения (self-hosted). Уязвимость в версиях от 1.5.0 до 1.18.0 позволяет злоумышленнику обойти проверку пароля при управлении настройками одноразового пароля на основе времени (TOTP, Time-based One-Time Password). Корневая причина заключается в отсутствии ключевого слова `await` при вызовах асинхронного метода `verifyPassword` в файле `authTotp.service.ts` и метода `authenticateUser` в файле `auth.service.ts`. В JavaScript не ожидаемый (`unawaited`) объект `Promise` всегда имеет истинное значение (truthy). Таким образом, логика, предназначенная для выброса исключения `ForbiddenException` при неверном пароле, никогда не выполняется, поскольку выражение проверяет наличие объекта `Promise`, а не его разрешенный булевый результат. Уязвимость исправлена в версии 1.18.1 путем обеспечения корректного ожидания (`await`) всех асинхронных вызовов аутентификации. Официальных обходных путей нет. Если пользователь заблокирован, администратор должен вручную сбросить статус TOTP пользователя в базе данных.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.