Andyanh174

**Nome do Software Vulnerável e Versões Afetadas** NocoDB versões anteriores a 2026.04.1 **Descrição** Existe uma diferença de tempo na resposta de login ao utilizar endereços de e-mail conhecidos em comparação com endereços desconhecidos. Isso ocorre porque o ramo de usuário desconhecido no arquivo `auth.service.ts` retorna uma resposta sem realizar a comparação do hash da senha. Um invasor posicionado na rede pode explorar isso enviando solicitações de login não autenticadas para enumerar endereços de e-mail registrados. Para corrigir isso, o sistema agora executa um `bcrypt.compare` (uma função usada para comparar com segurança uma senha em texto simples com uma versão criptografada) contra um hash fictício para usuários desconhecidos, garantindo que os tempos de resposta sejam consistentes. **Recomendações** Atualizar para a versão 2026.04.1.

**Nome do Software Vulnerável e Versões Afetadas** Strapi versões anteriores a 5.33.3 **Description** A alteração ou redefinição da senha de um usuário não invalida as sessões de refresh-token existentes por padrão. Nos controladores de autenticação de admin e users-permissions, o processo de invalidação depende de um `deviceId` fornecido pelo chamador. Se uma solicitação de alteração ou redefinição de senha for feita sem um `deviceId`, nenhum refresh token é revogado, mantendo todas as sessões anteriores ativas. Isso permite que um invasor com um refresh token obtido anteriormente continue gerando novos tokens de acesso mesmo após a redefinição da senha, permitindo acesso não autorizado durante a vida útil do refresh token, que é de 30 dias por padrão. **Recommendations** Atualize para a versão 5.33.3 ou posterior.