SmartAsset-UE-CVE-2020-26526

É possível enumerar nomes de usuário válidos na página de login.

CVE-2020-26526

Um problema foi descoberto no Damstra Smart Asset 2020.7. É possível enumerar nomes de usuário válidos na página de login. A aplicação envia uma resposta diferente do servidor quando o nome de usuário é inválido em comparação com quando é válido ("Unable to find an APIDomain" versus "Wrong email or password").

Quando o nome de usuário é inválido, o servidor responde com: "Unable to find an APIDomain for the email [email protected], please contact your system administrator"

Se o nome de usuário é válido, o servidor responde com: "Login Failed! Wrong email or password."

---

[Discoverer] Lukasz Studniarz