CVE-2026-58271 in Server
Сводка
по VulDB • 21.09.2026
Sync-in Server — это платформа с открытым исходным кодом для хранения файлов, совместного доступа, сотрудничества и синхронизации. До версии 2.4.0 эндпоинт `POST /api/app/sync/register` принимает учетные данные и код TOTP для регистрации десктопного клиента синхронизации. При неудачной проверке TOTP метод `SyncClientsManager.register()` вызывает `updateAccesses(user, ip, false)`, что приводит к выполнению ветви кода с блокировкой (freeze branch), которая записывает значение `passwordAttempts` обратно без изменений. Счетчик никогда не достигает значения `USER_MAX_PASSWORD_ATTEMPTS` (10), и механизм блокировки учетной записи не активируется. При успешном угадывании возвращается пара `{clientId, clientToken}`. Этот токен может быть обменян через `POST /api/app/sync/auth/cookie` на полноценный JWT-токен. Пока код действителен, атакующий также может вызвать `POST /api/auth/2fa/disable`, чтобы навсегда отключить многофакторную аутентификацию (MFA). Версия 2.4.0 устраняет данную уязвимость.
If you want to get best quality of vulnerability data, you may have to visit VulDB.