CVE-2026-58271

Sync-in Server; dosya depolama, paylaşım, iş birliği ve senkronizasyon için açık kaynaklı bir platformdur. Versiyon 2.4.0 öncesinde, `POST /api/app/sync/register` uç noktası, bir masaüstü senkronizasyon istemcisini kaydetmek için kimlik bilgilerini ve bir TOTP kodunu kabul eder. Hatalı bir TOTP durumunda, `SyncClientsManager.register()` fonksiyonu `updateAccesses(user, ip, false)` işlemini çağırır; bu işlem, `passwordAttempts` değerini değiştirilmeden geri yazan bir dondurma dalına girer. Sayaç hiçbir zaman `USER_MAX_PASSWORD_ATTEMPTS` (10) değerine ulaşmaz ve hesap kilitleme mekanizması asla tetiklenmez. Başarılı bir tahmin sonucunda `{clientId, clientToken}` çifti döndürülür. Bu token, `POST /api/app/sync/auth/cookie` aracılığıyla tam bir JWT ile takas edilebilir. Kod geçerli olduğu sürece saldırgan, MFA'yı kalıcı olarak kaldırmak için `POST /api/auth/2fa/disable` uç noktasını da çağırabilir. Versiyon 2.4.0 bu sorunu gidermektedir.