SmartAsset-UE-CVE-2020-26526

로그인 페이지에서 유효한 사용자 이름을 열거할 수 있습니다.

CVE-2020-26526

Damstra Smart Asset 2020.7에서 문제가 발견되었습니다. 로그인 페이지에서 유효한 사용자 이름을 열거할 수 있습니다. 애플리케이션은 사용자 이름이 유효하지 않을 때와 유효할 때 다른 서버 응답을 보냅니다 ("Unable to find an APIDomain" 대 "Wrong email or password").

사용자 이름이 유효하지 않은 경우 서버는 다음과 같이 응답합니다. "Unable to find an APIDomain for the email [email protected], please contact your system administrator"

사용자 이름이 유효한 경우 서버는 다음과 같이 응답합니다. "Login Failed! Wrong email or password."

---

[발견자] Lukasz Studniarz