CVE-2026-25050

सारांश

Vendure एक ओपन-सोर्स हेडलेस कॉमर्स प्लेटफ़ॉर्म है। संस्करण 3.5.3 से पहले, `NativeAuthenticationStrategy.authenticate()` विधि एक टाइमिंग अटैक के प्रति संवेदनशील है जो हमलावरों को वैध उपयोगकर्ता नामों (ईमेल पते) की गणना करने की अनुमति देता है। `packages/core/src/config/auth/native-authentication-strategy.ts` में, authenticate विधि तुरंत लौट आती है यदि उपयोगकर्ता नहीं मिलता है। महत्वपूर्ण समय अंतर (~bcrypt के लिए 200-400ms बनाम DB मिस के लिए ~1-5ms) हमलावरों को मौजूदा और गैर-मौजूद खातों के बीच विश्वसनीय रूप से अंतर करने की अनुमति देता है। संस्करण 3.5.3 इस समस्या को ठीक करता है।

• CVE-2026-25050PoC

  CVE-2026-25050 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, एक टाइमिंग अटैक जो GraphQL प्रमाणीकरण के माध्यम से उपयोगकर्ता गणना (user enumeration) को सक्षम करता है। मौजूदा खातों की पहचान करने के लिए प्रतिक्रिया समय को मापता है, जिससे लक्षित हमलों की सुविधा मिलती है।