Élevée CVSS 7.4
CVE-2026-57574
Misskey is an open source, federated social media platform. Prior to 2026.6.0, Misskey contains a vulnerability in Time-based One-Time Password (TOTP) authentication in UserAuthService where insufficient validation of used tokens allows the reuse of a single-use code within its valid time step. If both credentials and a TOTP code are obtained concurrently, an attacker may reuse the code to perform unauthorized actions, potentially leading to account takeover. This issue is fixed in version 2026.6.0.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau et sans authentification — mais seulement si un utilisateur ouvre un contenu piégé. L’attaque réclame toutefois des conditions particulières, ce qui la rend moins systématique. Elle dépend en outre de circonstances que l’attaquant ne maîtrise pas.
- Impact
- Un attaquant peut lire des données sensibles et modifier ou détruire des données.
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.