CVE-2026-58272

Nome do Software Vulnerável e Versões Afetadas Sync-in Server versões anteriores a 2.4.1

Description Existe uma discrepância de tempo observável no processo de login. Quando uma tentativa de autenticação é feita para uma conta inexistente, o sistema retorna uma resposta imediatamente sem realizar a comparação bcrypt utilizada para contas existentes. Isso ocorre porque a função validateUser() retorna nulo assim que um usuário não é encontrado, ignorando a função comparePassword() e o trabalho criptográfico associado. Consequentemente, um invasor não autenticado pode medir os tempos de resposta no endpoint '/api/auth/login' para distinguir entre contas inexistentes (rejeição quase instantânea) e contas existentes (consistentemente mais lentas devido à comparação bcrypt). Isso permite a enumeração de nomes de usuário ou endereços de e-mail válidos, que podem ser usados para facilitar ataques de credential-stuffing, password-spraying e phishing.

Recommendations Atualize para a versão 2.4.1. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/auth/login' para minimizar o risco de enumeração de contas.