Vautia

يمكن للمهاجم التحقق من وجود مستخدم ما من خلال مراقبة زمن استجابة عملية تسجيل الدخول. ويمكن استغلال هذا الاختلاف في الزمن لتعداد أسماء المستخدمين الصالحة، وبعد ذلك يمكن للمهاجم محاولة شن هجمات القوة الغاشمة. نشأت المشكلة بسبب اختلاف أوقات الاستجابة عند إدخال اسم مستخدم صالح (حيث يتم إجراء تجزئة كلمة المرور) وعند إدخال اسم مستخدم غير صالح (حيث لا يتم إجراء تجزئة كلمة المرور). يضيف التصحيح مكون TimingSafeFormLoginAuthenticator الذي يقوم بإجراء فحص تجزئة كلمة مرور وهمية حتى للمستخدمين غير الموجودين، مما يضمن وقت استجابة ثابتًا.

The issue is related to a self XSS vulnerability in the notifications within Mautic. Logged in users are vulnerable to this issue, which allows malicious code to be injected into the notification when saving Dashboards.