CVE-2026-72584
Publiée le 2026-08-10 · Dernière modification le 2026-10-24
Les versions de `fastschema` jusqu'à la 0.15.1 sont affectées par une condition de concurrence (race condition) dans le processus de récupération de compte. Un attaquant distant non authentifié peut contourner la limite de tentatives du mot de passe à usage unique (OTP) pour forcer un code de récupération à 6 chiffres et obtenir un accès complet au compte d'un utilisateur. Bien qu'aucune interaction de l'utilisateur ne soit requise, cet exploit est difficile à exécuter car il nécessite un timing précis pour exploiter la condition de concurrence.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A time-of-check/time-of-use (TOCTOU) race condition in fastschema through v0.15.1 allows an unauthenticated remote attacker to bypass the OTP attempt limit on the account recovery flow, enabling brute-force attacks on 6-digit OTP codes.