PT-2026-56685
CVE-2026-54685
·
تاريخ النشر
2026-03-24
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
FileBrowser Quantum (لم يتم تحديد الإصدارات المتأثرة)
الوصف
نقطة النهاية
/api/auth/login معرضة لهجوم القناة الجانبية التوقيتية. تقوم الدالة Auth() الموجودة داخل الوحدة النمطية JSONAuth في الملف auth/json.go بالبحث في قاعدة البيانات عن username قبل التحقق من صحة كلمة المرور. إذا كان username غير صالح، فإن الخادم يرد باستجابة فورية تقريبًا. ومع ذلك، إذا كان username صالحًا، يقوم الخادم بتنفيذ مقارنة كلمة المرور باستخدام bcrypt، وهي عملية مكلفة حسابيًا وتؤدي إلى تأخير ملحوظ. هذا الاختلاف في وقت الاستجابة يسمح لمهاجم غير مصدق عليه بالتمييز بين أسماء المستخدمين الصالحة وغير الصالحة.التوصيات
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية
/api/auth/login لتقليل مخاطر تعداد أسماء المستخدمين. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾