CVE-2026-32729

Runtipi şəxsi ev serveri orkestratorudur. 4.8.1 versiyasından əvvəl Runtipi /api/auth/verify-totp son nöqtəsi heç bir sürət məhdudiyyəti (rate limiting), cəhd sayğacı və ya hesabın bloklanması mexanizmini tətbiq etmir. İstifadəçinin düzgün giriş məlumatlarını (fişinq, credential stuffing və ya məlumat sızması vasitəsilə) əldə etmiş hücumçu, iki faktorlu autentifikasiyadan tamamilə yan keçmək üçün 6 rəqəmli TOTP koduna qarşı brute-force hücumu həyata keçirə bilər. TOTP yoxlama sessiyası 24 saat (defolt keş TTL) ərzində aktiv qalır ki, bu da bütün 1,000,000 kodlu açar sahəsinin (000000–999999) tükəndirilməsi üçün kifayət qədər geniş vaxt pəncərəsi yaradır. Praktiki sorğu sürətləri ilə (~500 req/s), ən pis halda hücum təxminən 33 dəqiqəyə tamamlanır. Bu zəiflik 4.8.1 versiyasında aradan qaldırılıb.