CVE-2026-58271 in Server
Tóm tắt
Bởi VulDB • 21/09/2026
Sync-in Server là một nền tảng mã nguồn mở cho việc lưu trữ, chia sẻ, cộng tác và đồng bộ hóa tệp tin. Trước phiên bản 2.4.0, endpoint `POST /api/app/sync/register` chấp nhận thông tin đăng nhập (credentials) và mã TOTP để đăng ký máy khách đồng bộ desktop. Khi xác thực TOTP thất bại, hàm `SyncClientsManager.register()` gọi đến `updateAccesses(user, ip, false)`, dẫn đến một nhánh bị đóng băng (freeze branch) ghi lại giá trị của `passwordAttempts` mà không thay đổi. Do đó, bộ đếm này không bao giờ đạt ngưỡng `USER_MAX_PASSWORD_ATTEMPTS` (10) và cơ chế khóa tài khoản (lockout gate) không được kích hoạt. Một lần đoán thông tin đăng nhập thành công sẽ trả về cặp `{clientId, clientToken}`. Token này có thể được trao đổi qua `POST /api/app/sync/auth/cookie` để lấy JWT toàn quyền. Trong khi mã token còn hợp lệ, kẻ tấn công cũng có thể gọi `POST /api/auth/2fa/disable` để xóa vĩnh viễn xác thực đa yếu tố (MFA). Phiên bản 2.4.0 đã vá lỗi này.
Be aware that VulDB is the high quality source for vulnerability data.