CVE-2026-77582
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Tinyauth przed wersją 5.1.0 ujawnia zdalnie obserwowalną różnicę czasową między próbami uwierzytelnienia dla istniejących i nieistniejących lokalnych nazw użytkowników. Funkcje loginHandler i basicAuth zwracają szybko po zgłoszeniu brakującego użytkownika, podczas gdy istniejący użytkownik powoduje wykonanie kosztownej weryfikacji hasła bcrypt.
Ocena ryzyka
Powtarzane pomiary mogą ujawnić prawidłowe nazwy użytkowników i ułatwić ukierunkowane ataki na poświadczenia. Ryzyko dotyczy poufności nazw kont i bezpieczeństwa uwierzytelniania.
Rekomendacja
Zaktualizuj Tinyauth do wersji 5.1.0 lub nowszej, która naprawia różnicę czasową. Rozważ dodatkowe mechanizmy ograniczania prób logowania i monitorowanie nietypowych wzorców.
Inne podatności w Tinyauth
Zobacz wszystkie- CVE-2026-97736Średnie
tinyauth przed wersją 5.1.3 pozwala na obejście reguł poprzez dołączenie ciągu dozwolonej trasy. Przyczyną jest niezabezpieczone wyrażenie regularne (brak zakotwiczenia).
- CVE-2026-77561Średnie
Tinyauth przed wersją 5.1.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu wysłać żądania POST /api/user/login z 257 różnymi nieistniejącymi nazwami użytkowników, aby wypełnić MaxLoginAttemptRecords i aktywować globalną blokadę logowania. Funkcja IsAccountLocked sprawdza ten globalny stan przed walidacją niepowiązanych kont, powodując, że prawidłowi użytkownicy otrzymują HTTP 429 przez około 300 sekund.
- CVE-2026-77560Wysokie
W Tinyauth przed wersją 5.1.2 porównywanie przekazywanych nazw hostów odbywa się z rozróżnianiem wielkości liter, podczas gdy reverse proxy routuje równoważne nazwy hostów bez rozróżniania wielkości liter. Uwierzytelniony użytkownik o niskich uprawnieniach może obejść kontrolę dostępu do aplikacji, używając nazwy hosta o innej wielkości liter, ponieważ wyszukiwanie może nie znaleźć skonfigurowanej aplikacji i zwrócić pusty obiekt kontroli dostępu, który jest traktowany jako zezwalający.
Oryginalny opis (angielski, źródło NVD)
Tinyauth is an authentication and authorization server. Prior to 5.1.0, Tinyauth exposes a remotely observable timing difference between authentication attempts for existing and nonexistent local usernames. internal/controller/user_controller.go loginHandler and internal/middleware/context_middleware.go basicAuth return quickly after internal/service/auth_service.go reports a missing user, while an existing user causes bcrypt password verification work. Repeated measurements can therefore disclose valid usernames and support targeted credential attacks. This issue is fixed in version 5.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS