PT-2026-144954

CVE-2026-126571

Publicado

2026-11-11

Atualizado

2026-11-11

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Padloc versões 4.0.0 até 4.3.0

Description Existe uma falha de bypass de autenticação no manipulador legado retrieveMFAToken. O sistema não contabiliza códigos de verificação de e-mail incorretos no limite de tentativas, permitindo que atacantes não autenticados que conheçam o e-mail de uma vítima realizem força bruta no código de 6 dígitos. Esse processo permite a obtenção de tokens de verificação utilizáveis nos fluxos de cadastro, login e recuperação de conta.

Recommendations Atualize o Padloc para a versão 4.3.1 ou posterior. Como mitigação temporária, restrinja o acesso ao manipulador retrieveMFAToken.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Zachariah Mithani

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-307: Improper Restriction of Excessive Authentication Attempts

Identificadores relacionados

CVE-2026-126571