CVE-2026-71213

Nome do Software Vulnerável e Versões Afetadas Typemill (versões afetadas não especificadas)

Description O endpoint de login 'POST /tm/login' utilizando a função login() em ControllerWebAuth não possui mecanismos de limitação de taxa (rate-limiting), contagem de tentativas falhas ou bloqueio de conta quando o captcha está desativado, que é a configuração padrão. Isso permite que um invasor não autenticado realize ataques ilimitados de adivinhação de senha contra qualquer conta, incluindo contas de administradores, sem qualquer restrição. Embora exista uma lógica de bloqueio no mesmo arquivo, ela se aplica apenas à etapa opcional de verificação de código de autenticação por e-mail e não à validação primária da senha.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.