CVE-2026-108162
Publiée le 2026-10-10 · Dernière modification le 2026-10-16
Les versions de Pingvin Share antérieures à la 1.22.0 sont affectées par une faille qui permet à des attaquants distants de contourner la limitation du débit en usurpant les en-têtes de proxy. Un attaquant peut utiliser cette vulnérabilité pour lancer des attaques par force brute contre les mots de passe et les codes TOTP sans être bloqué par la limitation par adresse IP. Cet exploit est facile à exécuter car il ne nécessite ni authentification ni interaction de l'utilisateur et peut être réalisé via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Pingvin Share X before 1.22.0 contains a rate limit bypass vulnerability that allows unauthenticated remote attackers to evade per-IP throttling because backend/src/main.ts unconditionally trusts proxy headers. Attackers can rotate spoofed X-Forwarded-For values against /api/auth/signIn, /api/auth/signIn/totp, and /api/auth/resetPassword to brute-force passwords and TOTP codes and forge logged client IP addresses.