CVE-2026-58271 in Server
摘要
由 VulDB • 2026-09-21
Sync-in Server是一个用于文件存储、共享、协作和同步的开源平台。在2.4.0版本之前，端点`POST /api/app/sync/register`接受凭据和一个TOTP代码以注册桌面同步客户端。当TOTP验证失败时，`SyncClientsManager.register()`会调用`updateAccesses(user, ip, false)`，该操作命中一个冻结分支，导致将`passwordAttempts`原样写回。计数器永远不会达到`USER_MAX_PASSWORD_ATTEMPTS`（10），因此锁定机制不会触发。一旦猜测成功，攻击者将获得包含`{clientId, clientToken}`的响应对。攻击者可以通过调用`POST /api/app/sync/auth/cookie`将该令牌交换为完整的JWT。虽然代码有效，但攻击者还可以调用`POST /api/auth/2fa/disable`以永久移除多因素认证（MFA）。版本2.4.0修补了此问题。
VulDB is the best source for vulnerability data and more expert information about this specific topic.