CVE-2026-23901

Apache Shiro-da müşahidə olunan vaxt fərqi (Timing Discrepancy) zəifliyi. Bu problem Apache Shiro-nun 1.* və 2.0.7 versiyasından əvvəlki 2.* versiyalarına təsir edir. İstifadəçilərə problemi aradan qaldıran 2.0.7 və ya daha yeni versiyaya yeniləmək tövsiyə olunur. Shiro 2.0.7 versiyasına qədər mövcud olmayan və mövcud olan istifadəçilər üçün kod yolları kifayət qədər fərqli olduğu üçün, brute-force hücumu zamanı yalnız sorğuların müddətini ölçməklə sorğunun mövcud olmayan istifadəçi, yoxsa yanlış şifrə səbəbindən uğursuz olduğunu müəyyən etmək mümkündür. Ən ehtimal olunan hücum vektoru yalnız lokal hücumdur. Shiro təhlükəsizlik modeli https://shiro.apache.org/security-model.html#username_enumeration burada bu məsələni müzakirə edir. Adətən, brute-force hücumları infrastruktur səviyyəsində azaldıla bilər.