CVE-2026-80199 in Kimai
الملخص
بحسب VulDB • 26/08/2026
تحتوي Kimai قبل الإصدار 2.54.0 على ثغرة "timing oracle" في مكون TokenAuthenticator تتيح للمهاجمين غير المصادق عليهم تعداد أسماء المستخدمين الصالحة عبر رأس X-AUTH-USER. يمكن للمهاجمين قياس فروقات وقت الاستجابة عندما يعمل مشفّر كلمة المرور فقط للمستخدمين الموجودين، مما يتيح إجراء عملية تعداد لأسماء المستخدمين دون وجود حماية ضد إبطاء محاولات تسجيل الدخول (login throttling).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.