CVE-2025-58586
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W przypadku nieudanych prób logowania aplikacja zwraca różne komunikaty błędów w zależności od tego, czy logowanie nie powiodło się z powodu nieprawidłowego hasła, czy nieistniejącej nazwy użytkownika. Pozwala to atakującemu zgadywać nazwy użytkowników aż do znalezienia istniejącej.
Ocena ryzyka
Atakujący może enumerować prawidłowe nazwy użytkowników, co ułatwia kolejne ataki (np. brute force lub phishing). Wpływ dotyczy poufności informacji o kontach.
Rekomendacja
Zmień komunikaty błędów logowania na jednolite, niezależne od przyczyny niepowodzenia, aby uniemożliwić enumerację nazw użytkowników.
Inne podatności w Aplikacja (nieokreślona)
Zobacz wszystkie- CVE-2025-58591Średnie
Zdalny, nieautoryzowany atakujący może brute force'ować foldery i pliki oraz odczytywać je, np. klucze prywatne lub konfiguracje, co czyni aplikację podatną na gromadzenie wrażliwych informacji.
- CVE-2025-58587Średnie
Aplikacja nie wdraża wystarczających środków zapobiegających wielu nieudanym próbom uwierzytelnienia w krótkim czasie. Umożliwia to atakującemu zgadywanie danych uwierzytelniających użytkowników.
Oryginalny opis (angielski, źródło NVD)
For failed login attempts, the application returns different error messages depending on whether the login failed due to an incorrect password or a non-existing username. This allows an attacker to guess usernames until they find an existing one.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS