CVE-2026-108162
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Pingvin Share X przed wersją 1.22.0 zawiera podatność na obejście ograniczeń szybkości, która pozwala nieuwierzytelnionym zdalnym atakującym unikać ograniczeń per-IP, ponieważ backend/src/main.ts bezwarunkowo ufa nagłówkom proxy. Atakujący mogą zmieniać sfałszowane wartości X-Forwarded-For wobec /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP oraz sfałszować zalogowane adresy IP klientów.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataków brute-force na uwierzytelnianie oraz fałszowania adresów IP, co może prowadzić do przejęcia kont i utrudnienia audytów bezpieczeństwa.
Rekomendacja
Zaleca się zaktualizowanie Pingvin Share X do wersji 1.22.0 lub nowszej oraz skonfigurowanie zaufania do nagłówków proxy tylko z zaufanych źródeł.
Inne podatności w Pingvin Share X
Zobacz wszystkie- CVE-2026-44196Krytyczne
W Pingvin Share X w wersjach od 1.14.1 do 1.16.2 występuje krytyczna podatność na obejście uwierzytelniania, która pozwala atakującemu, posiadającemu ważną nazwę użytkownika i hasło, całkowicie pominąć wymóg uwierzytelnienia dwuskładnikowego (TOTP). Podatność ta została naprawiona w wersji 1.16.3.
- CVE-2026-108163Średnie
Pingvin Share X przed wersją 1.22.0 zawiera podatność na nieskuteczne ograniczanie szybkości, ponieważ wartości TTL throttlera podane w sekundach są interpretowane jako milisekundy. Nieuwierzytelnieni atakujący mogą wysyłać praktycznie nieograniczone żądania do /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP.
- CVE-2026-108157Wysokie
Pingvin Share X od wersji 0.19.0 do 1.22.0 zawiera podatność niewłaściwego uwierzytelniania umożliwiającą zdalnym nieuwierzytelnionym atakującym przejęcie kont. Atakujący rejestruje niezweryfikowany adres e-mail ofiary u dostawcy OAuth/OIDC, wykorzystując brak sprawdzenia email_verified w GenericOidcProvider, i loguje się jako ofiara, w tym jako administrator, omijając TOTP.
- CVE-2026-49467Wysokie
Pingvin Share X w wersjach od 1.5.0 do 1.18.0 zawiera podatność pozwalającą atakującemu ominąć weryfikację hasła podczas zarządzania ustawieniami TOTP (Time-based One-Time Password). Przyczyną jest brak słowa kluczowego `await` przy wywołaniach asynchronicznych metod `verifyPassword` i `authenticateUser`. W JavaScript niewyczekiwany obiekt Promise jest zawsze prawdziwy, więc logika mająca rzucić wyjątek ForbiddenException przy błędnym haśle nie wykonuje się. Podatność została naprawiona w wersji 1.18.1.
Oryginalny opis (angielski, źródło NVD)
Pingvin Share X before 1.22.0 contains a rate limit bypass vulnerability that allows unauthenticated remote attackers to evade per-IP throttling because backend/src/main.ts unconditionally trusts proxy headers. Attackers can rotate spoofed X-Forwarded-For values against /api/auth/signIn, /api/auth/signIn/totp, and /api/auth/resetPassword to brute-force passwords and TOTP codes and forge logged client IP addresses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS