CVE-2026-58270
Publiée le 2026-09-21 · Dernière modification le 2026-09-24
Les versions de Sync-in Server antérieures à la 2.4.0 sont vulnérables à une attaque par déni de service via le point de terminaison (endpoint) sync diff. Un utilisateur authentifié peut envoyer une chaîne de caractères spécialement conçue qui déclenche un « backtracking catastrophique » dans le moteur d'expressions régulières du serveur, gelant ainsi la boucle d'événements Node.js et rendant l'ensemble du serveur inopérant. Cette attaque peut être exécutée à distance via le réseau et ne nécessite qu'un compte utilisateur standard pour être réalisée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Sync-in Server is an open-source platform for file storage, sharing, collaboration, and syncing. Prior to version 2.4.0, the sync diff endpoint compiles a user-supplied string into a `RegExp` with no complexity validation. A catastrophic-backtracking pattern (e.g. `^(a+)+b`) blocks the Node.js event loop, making the entire server unresponsive to all users until the container is restarted. Version 2.4.0 patches the issue.