CVE-2026-47684
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Sync-in Server to bezpieczna, otwartoźródłowa platforma do przechowywania plików, udostępniania, współpracy i synchronizacji. W wersjach przed 2.3.0, regex używany w funkcji pobierania URL do blokowania prywatnych adresów IP nie pasuje do adresów IPv4-mapped IPv6, co pozwala na obejście ochrony SSRF w systemach dual-stack.
Ocena ryzyka
Organizacje mogą być narażone na ataki SSRF, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych. To może skutkować ujawnieniem wrażliwych danych lub innymi poważnymi incydentami bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 2.3.0 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt zabezpieczeń, aby zidentyfikować potencjalne ryzyka związane z SSRF.
Inne podatności w Sync-in Server
Zobacz wszystkie- CVE-2026-58272Średnie
Sync-in Server przed wersją 2.4.1 ma zauważalną różnicę czasową w punkcie końcowym logowania, ponieważ próby uwierzytelnienia dla nieistniejących kont zwracają odpowiedź bez wykonywania porównania bcrypt, które jest używane dla istniejących kont. Nieuwierzytelniony atakujący może mierzyć czasy odpowiedzi, aby enumerować prawidłowe nazwy użytkowników lub adresy e-mail, co ułatwia ataki typu credential-stuffing, password-spraying i phishing. Wersja 2.4.1 zawiera poprawkę.
- CVE-2026-58270Średnie
Sync-in Server przed wersją 2.4.0 ma podatność w punkcie końcowym sync diff, gdzie kompiluje on ciąg znaków dostarczony przez użytkownika do wyrażenia regularnego bez walidacji złożoności. Wzorzec powodujący katastrofalne cofanie (np. ^(a+)+b) blokuje pętlę zdarzeń Node.js, czyniąc cały serwer nieodpowiedzialnym dla wszystkich użytkowników do czasu restartu kontenera. Wersja 2.4.0 naprawia ten problem.
- CVE-2026-58271Średnie
W Sync-in Server przed wersją 2.4.0 mechanizm blokady konta po nieudanych próbach TOTP nie działa, ponieważ licznik passwordAttempts nie jest zwiększany. Atakujący może zgadywać kody TOTP bez ograniczeń, a po trafieniu uzyskać token klienta wymienialny na pełny JWT, a także trwale wyłączyć MFA.
- CVE-2026-58269Wysokie
Sync-in Server to platforma open source do przechowywania, udostępniania, współpracy i synchronizacji plików. W wersjach przed 2.4.0 punkt końcowy POST /api/auth/token uwierzytelnia wyłącznie nazwą użytkownika i hasłem, a następnie wywołuje getTokens(), które zwraca pełne tokeny dostępu i odświeżania JWT bez sprawdzenia, czy konto ma włączone 2FA TOTP. Atakujący z ukradzionymi lub wyłudzonymi poświadczeniami może obejść 2FA w jednym żądaniu. Równoległy punkt końcowy logowania (POST /api/auth/login) poprawnie wymusza 2FA, wywołując setCookies(user, res, true), co jest uzależnione od user.twoFaEnabled. Wersja 2.4.0 naprawia ten problem.
- CVE-2026-41161Średnie
W Sync-in Server przed wersją 2.2.0 punkt końcowy /api/auth/login zawiera błąd logiczny umożliwiający nieuwierzytelnionym zdalnym atakującym enumerację prawidłowych nazw użytkowników poprzez pomiar czasu odpowiedzi aplikacji.
Oryginalny opis (angielski, źródło NVD)
Sync-in Server is a secure, open-source platform for file storage, sharing, collaboration, and syncing. Prior to version 2.3.0, the private IP blocklist regex used in the URL download feature does not match IPv4-mapped IPv6 addresses (e.g. ::ffff:127.0.0.1), allowing SSRF protection to be bypassed on dual-stack systems. Version 2.3.0 fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS