MEDIUM🇬🇧 English

CVE-2026-25222

CVSS 6.3v4.0pub. 2026-02-02upd. 2026-02-20

PolarLearn to darmowy i otwarty program edukacyjny. W wersji 0-PRERELEASE-15 i wcześniejszych, luka timing attack w procesie logowania umożliwia niezalogowanym atakującym określenie, czy konkretny adres e-mail jest zarejestrowany na platformie. Mierząc czas odpowiedzi endpointu logowania, atakujący może rozróżnić między istniejącymi a nieistniejącymi adresami e-mail. Dzieje się to dlatego, że serwer wykonuje kosztowny obliczeniowo hashing hasła Argon2 tylko wtedy, gdy użytkownik istnieje w bazie danych. Żądania dla istniejących użytkowników trwają znacznie dłużej (~650ms) niż żądania dla nieistniejących użytkowników (~160ms).

▸ Pokaż oryginał (EN)

PolarLearn is a free and open-source learning program. In 0-PRERELEASE-15 and earlier, a timing attack vulnerability in the sign-in process allows unauthenticated attackers to determine if a specific email address is registered on the platform. By measuring the response time of the login endpoint, an attacker can distinguish between valid and invalid email addresses. This occurs because the server only performs the computationally expensive Argon2 password hashing if the user exists in the database. Requests for existing users take significantly longer (~650ms) than requests for non-existent users (~160ms).

CVSS Vector

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X