PT-2026-7016
CVE-2026-23901
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
2.5
منخفضةالمقاييسAV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Shiro 1.*
إصدارات Apache Shiro من 2.* حتى 2.0.6
الوصف
يوجد تباين زمني ملحوظ في Apache Shiro. قبل الإصدار 2.0.7، كانت مسارات الكود المستخدمة للمستخدمين غير الموجودين والموجودين تختلف بما يكفي، مما يسمح لهجوم القوة الغاشمة بتحديد ما إذا كانت الطلبات تفشل بسبب مستخدم غير صالح أو كلمة مرور غير صحيحة من خلال قياس وقت الاستجابة. أكثر نواقل الهجوم احتمالاً هو الهجوم المحلي. ترتبط هذه المشكلة بتعداد أسماء المستخدمين، كما تمت مناقشته في نموذج أمان Shiro. يمكن عادةً التخفيف من حدة هجمات القوة الغاشمة على مستوى البنية التحتية.
التوصيات
قم بالتحديث إلى الإصدار 2.0.7 من Apache Shiro أو ما بعده.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾