CVE-2026-25050 in vendure
요약
\~에 의해 VulDB • 2026. 08. 23.
Vendure는 오픈소스 헤드리스 커머스 플랫폼입니다. 버전 3.5.3 이전의 `NativeAuthenticationStrategy.authenticate()` 메서드는 타이밍 공격(timing attack)에 취약하여, 공격자가 유효한 사용자 이름(이메일 주소)을 열거할 수 있습니다. `packages/core/src/config/auth/native-authentication-strategy.ts`에서 authenticate 메서드는 사용자가 발견되지 않을 경우 즉시 반환됩니다. bcrypt(~200-400ms)와 데이터베이스 미스(~1-5ms) 간의 상당한 타이밍 차이는 공격자가 기존 계정과 존재하지 않는 계정을 신뢰성 있게 구분할 수 있도록 합니다. 버전 3.5.3에서 이 문제가 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.