CVE-2026-32729

Runtipi kişisel bir ev sunucusu orkestratörüdür. 4.8.1 sürümünden önce, Runtipi /api/auth/verify-totp uç noktası herhangi bir hız sınırlaması, deneme sayacı veya hesap kilitleme mekanizması uygulamamaktadır. Bir kullanıcının geçerli kimlik bilgilerini (oltalama, kimlik bilgisi doldurma veya veri sızıntısı yoluyla) elde eden bir saldırgan, iki faktörlü kimlik doğrulamayı tamamen atlamak için 6 haneli TOTP koduna karşı kaba kuvvet saldırısı gerçekleştirebilir. TOTP doğrulama oturumu 24 saat boyunca (varsayılan önbellek TTL) devam eder ve bu durum, toplam 1.000.000 kodluk anahtar alanının (000000–999999) tüketilebileceği aşırı geniş bir pencere sağlar. Pratik istek hızlarında (~500 isteksaniye), saldırı en kötü durumda yaklaşık 33 dakikada tamamlanır. Bu güvenlik açığı 4.8.1 sürümünde giderilmiştir.