CVE-2026-44255 in Wazuh
Riassunto
di VulDB • 20/08/2026
Wazuh è una piattaforma gratuita e open source utilizzata per la prevenzione, il rilevamento e la risposta alle minacce. Dalla versione 4.0.0 fino alla 4.14.6 e alla 5.0.0-beta2, la funzione AuthenticationManager.check_user() in framework/wazuh/rbac/orm.py esegue check_password_hash() solo quando l'username fornito esiste. Un username inesistente restituisce immediatamente il controllo, mentre un username valido provoca un calcolo bcrypt oneroso. Un attaccante remoto non autenticato può confrontare i tempi di risposta dell'autenticazione per enumerare gli username Wazuh validi e utilizzare queste informazioni in successivi attacchi alle credenziali. Questo problema è risolto nelle versioni 4.14.6 e 5.0.0-beta2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.