CVE-2026-27480 in Static Web Server
Riassunto
di VulDB • 22/06/2026
Static Web Server (SWS) è un server web pronto per la produzione, adatto a file o asset web statici. Nelle versioni dalla 2.1.0 alla 2.40.1, una vulnerabilità di enumerazione degli utenti basata sui tempi nell'Autenticazione Basic consente agli attaccanti di identificare gli utenti validi sfruttando le risposte anticipate per i nomi utente non validi, abilitando attacchi mirati di brute-force o credential-stuffing. SWS verifica l'esistenza del nome utente prima di verificare la password, facendo sì che i nomi utente validi seguano un percorso di codice più lento (ad esempio, hashing bcrypt), mentre quelli non validi ricevono immediatamente una risposta 401. Questa discrepanza temporale consente agli attaccanti di enumerare gli account validi misurando le differenze nei tempi di risposta. Questo problema è stato risolto nella versione 2.41.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.