CVE-2026-63437

Nome do Software Vulnerável e Versões Afetadas 2FAuth versões anteriores a 8.0.0

Descrição A função recipients() no arquivo app/Api/v1/Controllers/TwoFAccountShareController.php não invoca a política de autorização manageShares antes de listar os destinatários. Quando o compartilhamento de conta está habilitado, um usuário autenticado pode acessar o endpoint 'GET /api/v1/twofaccounts/{victimId}/recipients' para obter informações sobre contas de outros usuários. Isso permite que o invasor enumere IDs de usuários registrados e nomes de exibição, verifique endereços de e-mail específicos usando a variável filter[nameOrEmail] e inspecione os relacionamentos de compartilhamento de cada conta.

Recomendações Atualizar para a versão 8.0.0.