CVE-2026-40263 in note-mark
要約
〜によって VulDB • 2026年06月03日
Note Markはオープンソースのノートテイクアプリケーションです。バージョン0.19.1およびそれ以前のバージョンでは、ログインエンドポイントが提供されたユーザー名が存在する場合のみbcryptによるパスワード検証を実行し、存在しないユーザー名の 경우에는即座にレスポンスを返すという仕様になっています。このタイミングの違いにより、認証されていない攻撃者は応答時間を測定することで有効なユーザー名を列挙することが可能となり、標的型資格情報攻撃が可能になります。本問題はバージョン0.19.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.