CVE-2026-77582 in Tinyauth
요약
\~에 의해 VulDB • 2026. 09. 21.
Tinyauth는 인증 및 권한 부여 서버입니다. 버전 5.1.0 이전의 Tinyauth는 기존 로컬 사용자명과 존재하지 않는 로컬 사용자명의 인증 시도 간에 원격에서 관찰 가능한 시간 차이를 노출합니다. `internal/controller/user_controller.go`의 `loginHandler`와 `internal/middleware/context_middleware.go`의 `basicAuth`는 `internal/service/auth_service.go`가 사용자를 찾을 수 없음을 보고한 후 빠르게 반환되는 반면, 기존 사용자명의 경우 bcrypt 비밀번호 검증 작업이 수행됩니다. 따라서 반복적인 측정을 통해 유효한 사용자명을 유출하고 표적 자격 증명 공격을 지원할 수 있습니다. 이 문제는 버전 5.1.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.