Christbowel

**Nome do Software Vulnerável e Versões Afetadas** Versões do Vendure anteriores à 3.5.3 **Descrição** O Vendure, uma plataforma de comércio headless de código aberto, contém uma falha no método `NativeAuthenticationStrategy.authenticate()`. Este problema permite que atacantes enumerem nomes de usuário válidos (endereços de e-mail) por meio de um ataque de temporização. O método `authenticate`, localizado em `packages/core/src/config/auth/native-authentication-strategy.ts`, retorna rapidamente se um usuário não for encontrado, enquanto tentativas de autenticação com usuários válidos experimentam um atraso perceptível devido ao processamento bcrypt. Essa diferença de temporização permite que atacantes determinem de forma confiável a existência de contas. **Recomendações** Atualize para a versão 3.5.3 ou posterior.