Podatności fastschema
3 znanych podatności CVE w fastschema, przetłumaczonych i ocenionych.
- CVE-2026-72584Wysokie
Podatność typu time-of-check/time-of-use (TOCTOU) w fastschema do wersji v0.15.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na obejście limitu prób OTP w procesie odzyskiwania konta, co umożliwia ataki brute-force na 6-cyfrowe kody OTP.
- CVE-2026-72583Średnie
Podatność na trwały XSS w fastschema do wersji v0.15.1 pozwala niskouprzywilejowanemu uwierzytelnionemu użytkownikowi na przesłanie pliku SVG zawierającego złośliwy JavaScript poprzez obejście listy dozwolonych typów MIME.
- CVE-2026-72582Wysokie
Podatność polegająca na wyłuskaniu wskaźnika NULL w fastschema do wersji v0.15.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie awarii procesu serwera pojedynczym żądaniem HTTP. Funkcja sendOTPEmail w pkg/auth/local.go wyłuskuje wskaźnik uzyskany z niesprawdzonej ścieżki błędu bez weryfikacji, czy nie jest NULL, co powoduje śmiertelną panikę i zatrzymanie całego serwera po wysłaniu żądania odzyskiwania do punktu końcowego /api/auth/local/recover.