CVE-2026-25050

总结

Vendure 是一个开源的无头电商平台。在 3.5.3 版本之前，`NativeAuthenticationStrategy.authenticate()` 方法存在时序攻击漏洞，攻击者可利用该漏洞枚举有效的用户名（电子邮件地址）。在 `packages/core/src/config/auth/native-authentication-strategy.ts` 中，authenticate 方法在未找到用户时会立即返回。显著的时序差异（bcrypt 约 200-400ms，而数据库未命中约 1-5ms）使攻击者能够可靠地区分已存在和不存在的账户。3.5.3 版本修复了该问题。

• CVE-2026-25050PoC

  针对 CVE-2026-25050 的概念验证漏洞利用程序，这是一种通过 GraphQL 认证实现用户枚举的时序攻击。通过测量响应时间来识别已存在的账户，从而便于实施定向攻击。