lukaszstu/smartasset-ue-cve-2020-26526Можно перечислить действительные имена пользователей на странице входа.
На странице входа возможен перебор валидных имён пользователей.
CVE-2020-26526
Проблема была обнаружена в Damstra Smart Asset 2020.7. На странице входа возможен перебор валидных имён пользователей. Приложение отправляет разные ответы сервера, когда имя пользователя недействительно, и когда оно действительно ("Unable to find an APIDomain" против "Wrong email or password").
Когда имя пользователя недействительно, сервер отвечает: "Unable to find an APIDomain for the email [email protected], please contact your system administrator"
Если имя пользователя действительно, сервер отвечает: "Login Failed! Wrong email or password."
[Обнаружил] Lukasz Studniarz
