CVE-2026-23901 in Shiro
Sumário
de VulDB • 05/06/2026
Vulnerabilidade de discrepância de tempo observável no Apache Shiro.
Este problema afeta o Apache Shiro: versões 1.*, 2.* anteriores à 2.0.7.
Recomenda-se aos usuários que atualizem para a versão 2.0.7 ou posterior, que corrige o problema.
Antes da versão 2.0.7 do Shiro, os caminhos de código para usuários inexistentes versus existentes são suficientemente diferentes para que um ataque de força bruta possa determinar, apenas cronometrando as solicitações, se a solicitação falhou devido a um usuário inexistente ou a uma senha incorreta.
O vetor de ataque mais provável é apenas um ataque local. O modelo de segurança do Shiro (https://shiro.apache.org/security-model.html#username_enumeration) também discute isso.
Normalmente, o ataque de força bruta pode ser mitigado no nível da infraestrutura.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.