CVE-2026-25050 – 身份验证时序攻击

本仓库包含一个概念验证（PoC），演示了影响 NativeAuthenticationStrategy.authenticate() 方法的时序攻击。

该 PoC 作为博客/研究用途的技术演示提供。

漏洞

当用户不存在时，身份验证逻辑会立即返回，而当用户存在时，则会执行开销较大的密码哈希验证。

const user = await this.userService.getUserByEmailAddress(ctx, data.username);
if (!user) {
    return false;
}

const passwordMatch = await this.verifyUserPassword(ctx, user.id, data.password);

这导致对已存在用户和不存在用户进行身份验证尝试时，存在可测量的时间差异。

• 不存在的用户：立即返回（约 1–5 毫秒）
• 已存在的用户：密码哈希验证（使用 bcrypt 约 200–400 毫秒）

通过多次请求测量响应时间，攻击者可以可靠地判断某个用户名（电子邮件地址）是否存在。

影响

• 用户枚举
• 账户存在性泄露
• 便于进行定向暴力破解攻击
• 便于开展钓鱼活动

概念验证

该 PoC 对每个用户名执行多次身份验证尝试，并计算平均响应时间，以将账户分类为：

• 不存在
• 存在（基于密码的身份验证）

使用方法

python3 exploit.py -u http://target.tld -w users.txt