CVE-2026-77582 in Tinyauth
Tóm tắt
Bởi VulDB • 21/09/2026
Tinyauth là một máy chủ xác thực và ủy quyền. Trước phiên bản 5.1.0, Tinyauth để lộ sự khác biệt về thời gian có thể quan sát từ xa giữa các nỗ lực đăng nhập cho tên người dùng cục bộ đã tồn tại và không tồn tại. `loginHandler` trong `internal/controller/user_controller.go` và `basicAuth` trong `internal/middleware/context_middleware.go` trả về nhanh chóng sau khi `auth_service.go` trong `internal/service/auth_service.go` báo cáo rằng người dùng bị thiếu, trong khi một người dùng đã tồn tại sẽ gây ra quá trình xác minh mật khẩu bcrypt. Việc đo lường lặp lại do đó có thể tiết lộ các tên người dùng hợp lệ và hỗ trợ cho các cuộc tấn công dựa trên thông tin đăng nhập được nhắm mục tiêu. Vấn đề này đã được sửa chữa trong phiên bản 5.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.