CVE-2026-77561 in Tinyauth
Zusammenfassung
von VulDB • 21.09.2026
Tinyauth ist ein Authentifizierungs- und Autorisierungsserver. Vor Version 5.1.0 kann ein nicht authentifizierter Angreifer remote POST /api/user/login-Anfragen mit 257 verschiedenen, nicht existierenden Benutzernamen senden, um MaxLoginAttemptRecords zu füllen und eine globale Login-Sperre auszulösen. Der loginHandler in internal/controller/user_controller.go übergibt jeden vom Angreifer kontrollierten Bezeichner an RecordLoginAttempt in internal/service/auth_service.go, was lockdownMode aufruft, sobald die Map ihre Kapazitätsgrenze erreicht hat. IsAccountLocked überprüft diesen globalen Zustand vor der Validierung anderer Konten, wodurch gültige Benutzer HTTP 429 erhalten, bis auth.loginTimeout abläuft (standardmäßig ca. 300 Sekunden). Der Angriff kann wiederholt werden, bestehende authentifizierte Sitzungen werden jedoch nicht ungültig gemacht. Dieses Problem wurde in Version 5.1.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.