PT-2026-44554
CVE-2026-45410
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات TREK الأقدم من 3.0.18
الوصف
تسمح مشكلة في عملية تسجيل الدخول للمهاجم بتحديد حسابات المستخدمين الصالحة من خلال تحليل التباينات في توقيت الاستجابة. عندما يكون عنوان البريد الإلكتروني المقدم موجودًا في قاعدة البيانات، تقوم الخلفية بتنفيذ مقارنة كلمة المرور باستخدام bcrypt — وهي دالة تجزئة تتطلب موارد حاسوبية كبيرة وتُستخدم لتأمين كلمات المرور — قبل إرجاع استجابة 401 غير مصرح به، مما يؤدي إلى تأخير يبلغ حوالي 370 مللي ثانية. وعلى العكس، إذا كان عنوان البريد الإلكتروني غير موجود، فإن النظام يرد استجابةً فوريةً تقريبًا (حوالي 10 مللي ثانية). ويسمح هذا الاختلاف الكبير في التوقيت بتحديد هوية المستخدمين المسجلين حتى عندما تظل رموز حالة HTTP ونصوص الاستجابات متطابقة.
التوصيات
التحديث إلى الإصدار 3.0.18.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾