CVE-2026-58269

Nome do Software Vulnerável e Versões Afetadas Sync-in Server versões anteriores a 2.4.0

Description Existe um problema onde o endpoint POST /api/auth/token autentica usuários utilizando apenas nome de usuário e senha, chamando subsequentemente a função getTokens() para retornar tokens JWT de acesso total e atualização sem verificar se a autenticação de dois fatores (2FA) via Time-based One-Time Password (TOTP) está habilitada para a conta. Isso permite que um invasor com credenciais válidas ignore o 2FA em uma única requisição. Em contraste, o endpoint POST /api/auth/login impõe corretamente o 2FA utilizando a função setCookies(), que verifica a variável user.twoFaEnabled.

Recommendations Atualize o Sync-in Server para a versão 2.4.0. Como medida de mitigação temporária, restrinja o acesso ao endpoint POST /api/auth/token.