CVE-2026-77561 in Tinyauth
Resumen
por VulDB • 2026-09-21
Tinyauth es un servidor de autenticación y autorización. Antes de la versión 5.1.0, un atacante remoto no autenticado puede enviar solicitudes POST a /api/user/login con 257 nombres de usuario inexistentes distintos para llenar MaxLoginAttemptRecords y activar un bloqueo global del inicio de sesión. El loginHandler en internal/controller/user_controller.go pasa cada identificador controlado por el atacante a RecordLoginAttempt en internal/service/auth_service.go, lo que invoca lockdownMode una vez que el mapa alcanza su capacidad máxima. IsAccountLocked verifica este estado global antes de validar cuentas no relacionadas, provocando que los usuarios válidos reciban HTTP 429 hasta que expire auth.loginTimeout, aproximadamente 300 segundos por defecto. El ataque puede repetirse, pero las sesiones autenticadas existentes no se invalidan. Este problema está corregido en la versión 5.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.