CVE-2026-73230

ŚrednieCVSS 5.9

Opublikowano: 11/08/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 12/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Ente przed wersją 2026.07.28 przechowuje w formacie karty 2of3 w wersji 1 długość sekretu i 32-bitową sumę kontrolną FNV-1a w postaci jawnego tekstu na każdej karcie, co pozwala osobie posiadającej jedną kartę na testowanie potencjalnych sekretów offline i odzyskanie sekretów o niskiej entropii lub przewidywalnych.

Ocena ryzyka

Ryzyko obejmuje możliwość odzyskania sekretów przez atakującego z dostępem do jednej karty, co może prowadzić do naruszenia poufności danych chronionych przez Ente.

Rekomendacja

Zaleca się aktualizację Ente do wersji 2026.07.28 lub nowszej, która zawiera poprawkę.

Inne podatności w Ente

CVE-2026-104875Wysokie
W Ente przed obrazem serwera 2026.07.09 punkt końcowy POST /emergency-contacts/approve-recovery autoryzował zatwierdzenie przy użyciu dostarczonego przez klienta userID i aktualizował sesję awaryjnego odzyskiwania tylko na podstawie dostarczonego przez klienta UUID sesji odzyskiwania. Zaakceptowany kontakt awaryjny mógł przesłać własny identyfikator, przejść sesję ofiary ze stanu WAITING do READY, wyczyścić wait_till, pobrać informacje o odzyskiwaniu i kontynuować odzyskiwanie konta przed upływem okresu powiadomienia ustawionego przez właściciela. Wykorzystanie obejścia zatwierdzenia wymagało, aby ofiara wcześniej dodała i zaakceptowała atakującego jako kontakt awaryjny i nie tworzyło praw do odzyskiwania dla dowolnego konta. Osobno ten sam niewystarczająco ograniczony wzorzec aktualizacji dotyczył przejść odrzucenia i zatrzymania odzyskiwania, umożliwiając użytkownikowi znającemu UUID innej sesji odzyskiwania potencjalne anulowanie sesji, której nie był stroną. Problem naprawiono w obrazie serwera 2026.07.09.

Oryginalny opis (angielski, źródło NVD)

Ente provides end-to-end encrypted cloud services and security tools. Prior to 2026.07.28, Ente 2of3 card format version 1 stored the secret byte length and 32-bit FNV-1a checksum in cleartext on every card, allowing someone with one card to test candidate secrets offline and recover low-entropy or predictable secrets. This issue is fixed in version 2026.07.28.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS