CVE-2026-97736

Tinyauth przed wersją 5.1.0 ujawnia zdalnie obserwowalną różnicę czasową między próbami uwierzytelnienia dla istniejących i nieistniejących lokalnych nazw użytkowników. Funkcje loginHandler i basicAuth zwracają szybko po zgłoszeniu brakującego użytkownika, podczas gdy istniejący użytkownik powoduje wykonanie kosztownej weryfikacji hasła bcrypt.

Tinyauth przed wersją 5.1.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu wysłać żądania POST /api/user/login z 257 różnymi nieistniejącymi nazwami użytkowników, aby wypełnić MaxLoginAttemptRecords i aktywować globalną blokadę logowania. Funkcja IsAccountLocked sprawdza ten globalny stan przed walidacją niepowiązanych kont, powodując, że prawidłowi użytkownicy otrzymują HTTP 429 przez około 300 sekund.

W Tinyauth przed wersją 5.1.2 porównywanie przekazywanych nazw hostów odbywa się z rozróżnianiem wielkości liter, podczas gdy reverse proxy routuje równoważne nazwy hostów bez rozróżniania wielkości liter. Uwierzytelniony użytkownik o niskich uprawnieniach może obejść kontrolę dostępu do aplikacji, używając nazwy hosta o innej wielkości liter, ponieważ wyszukiwanie może nie znaleźć skonfigurowanej aplikacji i zwrócić pusty obiekt kontroli dostępu, który jest traktowany jako zezwalający.