CVE-2026-77582
Açıklama
Tinyauth bir kimlik doğrulama ve yetkilendirme sunucusudur. 5.1.0 sürümünden önce Tinyauth, mevcut olan ve olmayan yerel kullanıcı adları için yapılan kimlik doğrulama denemeleri arasında uzaktan gözlemlenebilir bir zamanlama farkı ortaya çıkarmaktadır. internal/controller/user_controller.go loginHandler ve internal/middleware/context_middleware.go basicAuth, internal/service/auth_service.go eksik bir kullanıcı bildirdiğinde hızlıca yanıt verirken; mevcut bir kullanıcı bcrypt parola doğrulama işleminin çalışmasına neden olmaktadır. Bu nedenle tekrarlanan ölçümler, geçerli kullanıcı adlarını ifşa edebilir ve hedefli kimlik bilgisi saldırılarını destekleyebilir. Bu sorun 5.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/tinyauthapp/tinyauth1.0.1-0.20260714134959-c22925c2fba9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/tinyauthapp/tinyauthGo | v < 1.0.1-0.20260714134959-c22925c2fba9 | 1.0.1-0.20260714134959-c22925c2fba9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.