CVE-2026-49467
Publiée le 2026-08-12 · Dernière modification le 2026-10-24
Les versions 1.5.0 à 1.18.0 de Pingvin Share X sont affectées par une faille qui permet à un utilisateur connecté de contourner la vérification du mot de passe lors de la modification de ses paramètres TOTP (authentification à deux facteurs). Un attaquant disposant d'identifiants d'utilisateur basiques peut exploiter cette vulnérabilité via le réseau, sans interaction supplémentaire, pour prendre le contrôle total des paramètres de sécurité du compte. Comme le système ne patiente pas correctement la fin de la vérification du mot de passe, tout mot de passe saisi est considéré comme correct.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Pingvin Share X is a secure and easy self-hosted file sharing platform. A vulnerability in versions 1.5.0 through 1.18.0 allow an attacker to bypass password verification when managing Time-based One-Time Password (TOTP) settings. The root cause is a missing `await` keyword on calls to the asynchronous `verifyPassword` method in `authTotp.service.ts` and the `authenticateUser` method in `auth.service.ts`. In JavaScript, an unawaited `Promise` is always truthy. So the logic intended to throw a `ForbiddenException` when a password is incorrect. It never executes because the expression evaluates the existence of the `Promise` object rather than its resolved boolean result. The vulnerability is fixed in version 1.18.1 by ensuring all asynchronous authentication calls are properly awaited. There are no official workarounds. If a user is locked out, an administrator must manually reset the user's TOTP status in the database.