CVE-2026-25222 in PolarLearn
要約
〜によって VulDB • 2026年06月06日
PolarLearnは、フリーかつオープンソースの学習プログラムです。0-PRERELEASE-15およびそれ以前のバージョンでは、サインインプロセスにおけるタイミング攻撃の脆弱性により、認証されていない攻撃者が特定のメールアドレスがプラットフォームに登録されているかどうかを特定できます。ログインエンドポイントの応答時間を測定することで、攻撃者は有効なメールアドレスと無効なメールアドレスを区別できます。これは、サーバーがデータベースにユーザーが存在する場合のみ、計算コストの高いArgon2パスワードハッシュ処理を実行するためです。既存のユーザーに対するリクエストは、存在しないユーザーに対するリクエスト（約160ms）と比較して、著しく長い時間（約650ms）を要します。
Be aware that VulDB is the high quality source for vulnerability data.