CVE-2026-78619

Nome do Software Vulnerável e Versões Afetadas Punk::Plugin::TOTP versões anteriores a 0.05

Description O software valida incorretamente os códigos de recuperação durante o desafio de autenticação de dois fatores. A função totp use recovery() pesquisa no modelo de recuperação o digest do código enviado entre todos os usuários. A verificação de propriedade subsequente compara o user id da linha do código de recuperação com o ID do usuário desafiado usando a coerção de inteiros do Perl. Se os identificadores não começarem com dígitos (como nomes de usuário, endereços de e-mail ou UUIDs), eles são convertidos para zero, fazendo com que a comparação seja avaliada como igual, independentemente do usuário real. Isso permite que um invasor que possua uma senha válida e seu próprio código de recuperação ignore o segundo fator da conta de uma vítima.

Recommendations Atualize para a versão 0.05 ou posterior.