CVE-2026-23996

Nome do Software Vulnerável e Versões Afetadas Versões do FastAPI Api Key anteriores à 1.1.0

Descrição A função verify key() no FastAPI Api Key contém um canal lateral de temporização que permite a um atacante diferenciar entre chaves de API válidas e inválidas ao medir as latências de resposta. O método aplicava inicialmente um atraso aleatório apenas em caso de falha na verificação. Ao enviar solicitações repetidamente, um adversário poderia potencialmente determinar se um key id é válido, o que poderia acelerar ataques de força bruta ou de enumeração. O componente afetado é a função verify key().

Recomendações Atualize para a versão 1.1.0 ou posterior para aplicar a correção, que introduz um atraso aleatório uniforme a todas as respostas, eliminando a correlação de temporização. Adicione um atraso fixo ou jitter aleatório em nível de aplicação a todas as respostas de autenticação (sucesso e falha) como uma solução alternativa temporária. Implemente limitação de taxa para reduzir a viabilidade de ataques de temporização estatísticos.