CVE-2026-19611

WysokieCVSS 7.4

Opublikowano: 20/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

W WildFly Elytron wykryto wadę w procesie haszowania i weryfikacji haseł. Normalizacja Unicode NFKC zamienia znaki pełnowymiarowe na odpowiedniki ASCII, co ułatwia zdalnemu atakującemu odgadnięcie haseł zawierających znaki nie-ASCII przy użyciu słownika ASCII, prowadząc do nieautoryzowanego dostępu.

Ocena ryzyka

Konta użytkowników z hasłami zawierającymi znaki nie-ASCII są bardziej narażone na ataki słownikowe, co może prowadzić do nieautoryzowanego dostępu do systemów.

Rekomendacja

Zaktualizuj WildFly Elytron do wersji z poprawką oraz rozważ wymuszenie polityk haseł uwzględniających tę podatność.

Inne podatności w WildFly Elytron

CVE-2025-23368Wysokie
W Wildfly Elytron zintegrowanym z serwerem aplikacyjnym brakuje mechanizmów ograniczających liczbę nieudanych prób uwierzytelnienia w krótkim czasie. Ta luka ułatwia ataki brute force na interfejs CLI.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in WildFly Elytron. Password hashing and verification normalize input with Unicode NFKC, which can collapse fullwidth characters to ASCII equivalents. A remote attacker can more easily guess affected passwords by using an ASCII-only dictionary against accounts whose passwords were intended to include those non-ASCII characters, leading to unauthorized access.