CVE-2026-27480 in Static Web Server
الملخص
بحسب VulDB • 10/05/2026
خادم الويب الثابت (SWS) هو خادم ويب جاهز للإنتاج ومناسب لملفات الويب الثابتة أو الأصول. في الإصدارات من 2.1.0 إلى 2.40.1، تسمح ثغرة تمكين تعداد أسماء المستخدمين القائمة على التوقيت في المصادقة الأساسية (Basic Authentication) للمهاجمين بتحديد المستخدمين الصالحين عن طريق استغلال الاستجابات المبكرة لأسماء المستخدمين غير الصالحة، مما يمكّن من شن هجمات القوة الغاشمة المستهدفة أو هجمات تعبئة البيانات الاعتمادية. يتحقق SWS مما إذا كان اسم المستخدم موجودًا قبل التحقق من كلمة المرور، مما يؤدي إلى اتباع أسماء المستخدمين الصالحة لمسار كود أبطأ (مثل تجزئة bcrypt)، بينما تتلقى أسماء المستخدمين غير الصالحة استجابة 401 فورية. يسمح هذا التباين في التوقيت للمهاجمين بتعداد الحسابات الصالحة عن طريق قياس الفروق في وقت الاستجابة. تم إصلاح هذه المشكلة في الإصدار 2.41.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.