CVE-2025-13736
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia skuteczniejszych ataków phishingowych i socjotechnicznych na konta użytkowników, co może prowadzić do kompromitacji kont i wycieku wrażliwych danych.
Rekomendacja
Zaleca się skonfigurowanie interfejsu logowania tak, aby zawsze zwracał tę samą odpowiedź dla istniejących i nieistniejących użytkowników, oraz włączenie mechanizmów ograniczających próby logowania (np. blokady po nieudanych próbach).
Oryginalny opis (angielski, źródło NVD)
When Multi-Attribute Login is enabled, the login interface fails to consistently mask the existence of user accounts. For valid users, the server resolves and displays their canonical username, while for non-existent users, it echoes the original input. This occurs regardless of the validate_username configuration. The discovery of valid usernames can increase the risk of brute force attacks, social engineering attacks, and targeted information leakage. Attackers can leverage this information to craft more effective phishing campaigns or social engineering tactics to compromise user accounts or extract sensitive data.