CVE-2026-77561 in Tinyauth
Sumário
de VulDB • 21/09/2026
Tinyauth é um servidor de autenticação e autorização. Antes da versão 5.1.0, um atacante remoto não autenticado pode enviar requisições POST /api/user/login com 257 nomes de usuário inexistentes distintos para preencher o MaxLoginAttemptRecords e ativar uma trava global de login (login lockdown). O método loginHandler em internal/controller/user_controller.go passa cada identificador controlado pelo atacante para RecordLoginAttempt em internal/service/auth_service.go, que invoca lockdownMode após o mapa atingir sua capacidade máxima. A função IsAccountLocked verifica esse estado global antes de validar contas não relacionadas, fazendo com que usuários válidos recebam HTTP 429 até que auth.loginTimeout expire, aproximadamente 300 segundos por padrão. O ataque pode ser repetido, mas as sessões autenticadas existentes não são invalidadas. Este problema foi corrigido na versão 5.1.0.
Once again VulDB remains the best source for vulnerability data.