CVE-2026-44196: Bypass de autenticação no Pingvin Share X permite ignorar a verificação TOTP de dois fatores

Visão geral

A CVE-2026-44196 afeta o Pingvin Share X, plataforma auto-hospedada de compartilhamento de arquivos. Segundo o aviso de segurança do GitHub, as versões de 1.14.1 até 1.16.2 permitem que um atacante com usuário e senha válidos contorne a exigência de segundo fator TOTP. A correção está disponível na versão 1.16.3.

Impacto

Um bypass bem-sucedido do segundo fator poderia permitir que um atacante acesse uma conta sem concluir a etapa TOTP.
O atacante ainda precisa da senha do usuário, por isso o registro não descreve a falha como não autenticada.
A pontuação base CVSS 3.1 de 9.1 é registrada como crítica, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade no vetor.

Produtos e versões afetadas

Produto: Pingvin Share X (compartilhamento de arquivos auto-hospedado).
Faixa afetada indicada na descrição: de 1.14.1 até 1.16.2.
Versão corrigida: 1.16.3.
Os campos estruturados de afetados e correções do registro estão vazios, então a faixa de versões vem do texto da descrição.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nas fontes consultadas não há exploração confirmada.

Remediação e mitigação

Atualize o Pingvin Share X para a versão 1.16.3, a release corrigida citada no registro.
Enquanto a atualização não for aplicada, limite a exposição da instância, por exemplo restringindo o acesso de login e administrativo quando possível, e revise contas em busca de sessões inesperadas.
Exija senhas fortes e exclusivas e verifique a existência de credenciais compartilhadas ou reutilizadas, já que o bypass depende de a senha ser conhecida.

Orientações de detecção

Revise os logs de autenticação em busca de sessões bem-sucedidas sem o evento correspondente de verificação do segundo fator, caso a aplicação registre esses eventos.
Monitore logins de origens desconhecidas em contas que usam TOTP.
Trate acessos não explicados como possível incidente e siga o processo interno de resposta.

Limitações das informações disponíveis

O registro não descreve o mecanismo técnico do bypass, e esta análise não tenta reconstruí-lo.
A principal fonte consultada é o aviso do GitHub; o registro não inclui um segundo aviso independente.
Não se sabe se a aplicação registra a etapa TOTP de forma que permita detecção.
O registro mostra status de fonte Deferred e campos de afetados e correções vazios, então o escopo de versões deve ser verificado no aviso original.

Perguntas frequentes

Esta vulnerabilidade é explorada na prática?

O registro mostra que ela não está no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

Qual versão corrige o problema?

A versão 1.16.3, conforme a descrição do registro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.