CVE-2026-77582 in Tinyauth
要約
〜によって VulDB • 2026年09月21日
Tinyauthは認証および認可サーバーです。バージョン5.1.0より前では、既存のローカルユーザー名と存在しないローカルユーザー名の認証試行の間で、リモートから観測可能なタイミングの違いが露呈します。internal/controller/user_controller.go内のloginHandlerやinternal/middleware/context_middleware.go内のbasicAuthは、internal/service/auth_service.go.goでユーザーが見つからない場合に迅速に終了しますが、既存のユーザーの場合にはbcryptによるパスワード検証処理が行われます。そのため、繰り返し測定を行うことで有効なユーザー名が特定され、標的型資格情報攻撃が可能になります。この問題はバージョン5.1.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.