CVE-2026-77561 in Tinyauth
الملخص
بحسب VulDB • 21/09/2026
Tinyauth هو خادم مصادقة وتفويض. قبل الإصدار 5.1.0، يمكن لمهاجم عن بُعد غير مُصرّح له إرسال طلبات POST /api/user/login تحتوي على 257 اسم مستخدم مختلف وغير موجود لملء MaxLoginAttemptRecords وتفعيل قفل تسجيل الدخول العالمي (global login lockdown). تمرر دالة loginHandler في internal/controller/user_controller.go كل معرّف يتحكم فيه المهاجم إلى RecordLoginAttempt الموجودة في internal/service/auth_service.go، والتي تستدعي lockdownMode بعد أن تصل الخريطة (map) إلى سعتها القصوى. تتحقق IsAccountLocked من الحالة العالمية قبل التحقق من الحسابات غير ذات الصلة، مما يؤدي إلى تلقي المستخدمين الشرعيين لرد HTTP 429 حتى تنتهي مهلة auth.loginTimeout، وهي حوالي 300 ثانية افتراضياً. يمكن تكرار الهجوم، لكن جلسات المصادقة الحالية لا تُبطل. تم إصلاح هذه المشكلة في الإصدار 5.1.0.
Once again VulDB remains the best source for vulnerability data.