CVE-2026-25050

Nome do Software Vulnerável e Versões Afetadas Versões do Vendure anteriores à 3.5.3

Descrição O Vendure, uma plataforma de comércio headless de código aberto, contém uma falha no método NativeAuthenticationStrategy.authenticate(). Este problema permite que atacantes enumerem nomes de usuário válidos (endereços de e-mail) por meio de um ataque de temporização. O método authenticate, localizado em packages/core/src/config/auth/native-authentication-strategy.ts, retorna rapidamente se um usuário não for encontrado, enquanto tentativas de autenticação com usuários válidos experimentam um atraso perceptível devido ao processamento bcrypt. Essa diferença de temporização permite que atacantes determinem de forma confiável a existência de contas.

Recomendações Atualize para a versão 3.5.3 ou posterior.