CVE-2026-126937

Nome do Software Vulnerável e Versões Afetadas Zipline versões anteriores a 4.6.5

Description Existe uma condição de corrida TOCTOU (Time-of-Check to Time-of-Use), que ocorre quando um programa verifica o estado de um recurso, mas o estado muda antes que o programa utilize o recurso. Este problema está presente no endpoint 'POST /api/setup' e permite que atacantes não autenticados criem múltiplas contas SUPERADMIN enviando requisições simultâneas antes que a flag firstSetup seja redefinida. Atacantes podem utilizar cabeçalhos X-Forwarded-For falsificados durante a janela de hashing argon2 para obter controle administrativo total da instância.

Recommendations Atualize o Zipline para a versão 4.6.5 ou posterior.