CVE-2026-104875

WysokieCVSS 7.1

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

W Ente przed obrazem serwera 2026.07.09 punkt końcowy POST /emergency-contacts/approve-recovery autoryzował zatwierdzenie przy użyciu dostarczonego przez klienta userID i aktualizował sesję awaryjnego odzyskiwania tylko na podstawie dostarczonego przez klienta UUID sesji odzyskiwania. Zaakceptowany kontakt awaryjny mógł przesłać własny identyfikator, przejść sesję ofiary ze stanu WAITING do READY, wyczyścić wait_till, pobrać informacje o odzyskiwaniu i kontynuować odzyskiwanie konta przed upływem okresu powiadomienia ustawionego przez właściciela. Wykorzystanie obejścia zatwierdzenia wymagało, aby ofiara wcześniej dodała i zaakceptowała atakującego jako kontakt awaryjny i nie tworzyło praw do odzyskiwania dla dowolnego konta. Osobno ten sam niewystarczająco ograniczony wzorzec aktualizacji dotyczył przejść odrzucenia i zatrzymania odzyskiwania, umożliwiając użytkownikowi znającemu UUID innej sesji odzyskiwania potencjalne anulowanie sesji, której nie był stroną. Problem naprawiono w obrazie serwera 2026.07.09.

Ocena ryzyka

Osoba dodana jako kontakt awaryjny może ominąć okres oczekiwania i przejąć kontrolę nad kontem ofiary przed upływem okresu powiadomienia, co może prowadzić do nieautoryzowanego dostępu do danych. Dodatkowo użytkownik znający UUID sesji odzyskiwania może anulować sesję, której nie jest stroną.

Rekomendacja

Zaktualizuj serwer Ente do obrazu 2026.07.09 lub nowszego.

Inne podatności w Ente

CVE-2026-73230Średnie
Ente przed wersją 2026.07.28 przechowuje w formacie karty 2of3 w wersji 1 długość sekretu i 32-bitową sumę kontrolną FNV-1a w postaci jawnego tekstu na każdej karcie, co pozwala osobie posiadającej jedną kartę na testowanie potencjalnych sekretów offline i odzyskanie sekretów o niskiej entropii lub przewidywalnych.

Oryginalny opis (angielski, źródło NVD)

Ente provides end-to-end encrypted cloud services and security tools. Prior to server image 2026.07.09, the POST /emergency-contacts/approve-recovery endpoint authorized approval using a client-supplied userID and updated an emergency recovery session using only its client-supplied recovery-session UUID. An accepted emergency contact could submit the contact's own identifier, transition the victim's session from WAITING to READY, clear wait_till, retrieve recovery information, and continue account recovery before the owner-configured notice period expired. Exploitation of the approval bypass required the victim to have previously added and accepted the attacker as an emergency contact, and it did not create recovery rights for an arbitrary account. Separately, the same insufficiently scoped update pattern affected the reject and stop recovery transitions, allowing a user who knew another recovery-session UUID to potentially cancel a session to which the user was not a party. This issue is fixed in server image 2026.07.09.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS