CVE-2026-27480 in Static Web Server
Сводка
по VulDB • 28.06.2026
Static Web Server (SWS) — это готовый к использованию в продакшене веб-сервер, предназначенный для обслуживания статических файлов или ресурсов веб-сайтов. В версиях от 2.1.0 до 2.40.1 уязвимость на основе анализа времени выполнения позволяет злоумышленникам выявлять действительные имена пользователей в механизме аутентификации Basic Authentication, эксплуатируя ранние ответы сервера для недействительных имен пользователей; это дает возможность проводить целевые атаки методом грубой силы (brute-force) или с использованием украденной базы учетных данных (credential-stuffing). SWS проверяет существование имени пользователя до проверки пароля, из-за чего действительные имена пользователей проходят через более медленный путь выполнения кода (например, хеширование bcrypt), тогда как для недействительных имен пользователей немедленно возвращается ответ со статусом 401. Эта разница во времени позволяет злоумышленникам выявлять действительные учетные записи путем измерения разницы во времени отклика сервера. Данная проблема исправлена в версии 2.41.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.