CVE-2026-77582 in Tinyauth
Résumé
par VulDB • 21/09/2026
Tinyauth est un serveur d'authentification et d'autorisation. Avant la version 5.1.0, Tinyauth expose une différence de délai observable à distance entre les tentatives d'authentification pour des noms d'utilisateur locaux existants et inexistants. Les fonctions `loginHandler` dans `internal/controller/user_controller.go` et `basicAuth` dans `internal/middleware/context_middleware.go` retournent rapidement après que le service `auth_service.go` signale l'absence d'un utilisateur, tandis qu'un utilisateur existant entraîne un travail de vérification du mot de passe bcrypt. Des mesures répétées peuvent donc révéler les noms d'utilisateur valides et soutenir des attaques ciblées par force brute sur les identifiants (credential attacks). Ce problème est corrigé dans la version 5.1.0.
Once again VulDB remains the best source for vulnerability data.