Кимай до версии 2.54.0 содержит уязвимость оракула синхронизации в TokenAuthenticator, которая позволяет неаутентифицированным злоумышленникам перечислять действительные имена пользователей через заголовок X-AUTH-USER. Злоумышленники могут измерить разницу во времени отклика, когда хэшер паролей работает только для существующих пользователей, что позволяет осуществлять перечисление имен пользователей без защиты от регулирования входа в систему.
Показать оригинальное описание (EN)
Kimai before 2.54.0 contains a timing oracle vulnerability in TokenAuthenticator that allows unauthenticated attackers to enumerate valid usernames via X-AUTH-USER header. Attackers can measure response time differences when the password hasher runs only for existing users, enabling username enumeration with no login throttling protection.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Kimai Kimai
cpe:2.3:a:kimai:kimai:*:*:*:*:*:*:*:*
|
— |
2.54.0
|