CVE-2026-77582
Tinyauth: User enumeration attack by timing oracle
CVSS 3.1Medium
6.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 5.1.0, 1.0.1-0.20260714134959-c22925c2fba9
Обновить сервис Tinyauth до версии 5.1.0 или выше, где выравнивание времени обработки введено на уровне сервиса аутентификации независимо от наличия пользователя в базе данных.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка времени выполнения (timing oracle) в механизме аутентификации Tinyauth. Дефект позволяет неаутентифицированному пользователю составить список валидных логинов в системе.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Функции loginHandler в internal/controller/user_controller.go и basicAuth в internal/middleware/context_middleware.go мгновенно возвращают ответ, если auth_service.go фиксирует отсутствие логина, тогда как для существующих пользователей запускается тяжелая валидация хеша через bcrypt.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Успешное перечисление существующих учетных записей (user enumeration) по временным задержкам ответа сервера с последующим проведением таргетированных брутфорс-атак и атак подбора учетных данных (credential stuffing).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
tinyauthapptinyauth
все ранние➔Fix: 5.1.0
——
>= 0➔Fix: 1.0.1-0.20260714134959-c22925c2fba9
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/tinyauthapp/tinyauth/security/advisories/GHSA-456h-ww26-f758
- github.comhttps://github.com/tinyauthapp/tinyauth/pull/1004
- github.comhttps://github.com/tinyauthapp/tinyauth/commit/c22925c2fba981875d0a2b09dd3ee41c0ae4c310
- github.comhttps://github.com/tinyauthapp/tinyauth/releases/tag/v5.1.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-77582: Tinyauth: User enumeration attack by timing oracle. URL: https://cve.futuretools.ru/cve/CVE-2026-77582
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_77582,
title = {{CVE-2026-77582: Tinyauth: User enumeration attack by timing oracle}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-77582}},
note = {Оперативный инженерный анализ киберугроз}
}