Padloc: Authentifizierungsumgehung durch unbegrenztes Erraten von E-Mail-Codes

Zusammenfassung

Padloc, ein Passwort-Manager, enthält eine Authentifizierungsumgehung im veralteten Handler retrieveMFAToken. Falsche E-Mail-Bestätigungscodes werden nicht auf das Versuchslimit angerechnet, weshalb ein nicht authentifizierter Angreifer, der die E-Mail-Adresse eines Opfers kennt, den 6-stelligen Code per Brute-Force erraten kann. Ein erfolgreiches Erraten liefert Verifizierungstoken, die in Registrierungs-, Anmelde- und Kontowiederherstellungsprozessen verwendet werden können. Selbst gehostete Instanzen, die aus dem Internet erreichbar sind, sind am stärksten gefährdet.

Betroffen

• Padloc 4.0.0 bis vor 4.3.1
• Versionen vor 4.0.0: Unbekannt.

Behoben in

• Behoben in Padloc 4.3.1

Umgehung

• Keine Workaround-Lösung des Herstellers bekannt. Das Aktualisieren auf 4.3.1 ist die einzige Abhilfe in den Quellen.
• Netzwerkzugriff auf selbst gehostete Instanzen einschränken.
• Sicherstellen, dass das Rate Limiting Versuche pro Konto zählt und nicht nur pro IP-Adresse.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Selbst gehostete Padloc-Server auf 4.3.1 oder höher aktualisieren.
• Prüfen, ob eine Padloc-Instanz aus dem Internet erreichbar ist, und den Zugriff einschränken, falls sie nicht benötigt wird.
• Authentifizierungsprotokolle auf wiederholte Verifizierungsversuche pro Konto überwachen.
• Die Behebung vor dem Produktiveinsatz auf einer Testinstanz bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit: Count failed legacy email MFA verification attempts github.com
• Padloc GitHub security advisory GHSA-3mq5-m2qg-fqhq github.com
• Vulnerable code: v3-compat.ts at v4.3.0 github.com
• VulnCheck advisory: Padloc email MFA code brute force via retrieveMFAToken www.vulncheck.com
• OpenCVE: CVE-2026-126571 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:55.