PT-2026-7016 · Apache · Apache Shiro

4Ra1N + 2 · Publicado 2026-01-01 · Atualizado 2026-05-18 · CVE-2026-23901

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.5

Baixa

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Shiro versões 1.* Apache Shiro versões 2.* até 2.0.6

Descrição Existe uma discrepância temporal observável no Apache Shiro. Antes da versão 2.0.7, os caminhos de código utilizados para usuários inexistentes e existentes diferem o suficiente, permitindo que um ataque de força bruta determine se uma solicitação falha devido a um usuário inválido ou senha incorreta ao medir o tempo de resposta. O vetor de ataque mais provável é um ataque local. Este problema está relacionado à enumeração de nomes de usuário, conforme discutido no modelo de segurança do Shiro. Ataques de força bruta geralmente podem ser mitigados no nível de infraestrutura.

Recomendações Atualize para a versão 2.0.7 do Apache Shiro ou posterior.

Correção

Enumeração de Fraquezas

CWE-208

Identificadores relacionados

CLEANSTART-2026-GH89210

CVE-2026-23901

GHSA-C4QC-4Q9P-M9Q9

Produtos afetados

Apache Shiro

Referências · 96

• https://github.com/apache/shiro · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-GH89210.json · Nota
• https://osv.dev/vulnerability/CVE-2022-38752 · Nota
• https://osv.dev/vulnerability/ghsa-qh8g-58pp-2wxh · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-58057 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-47535 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-6763 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-24823 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-23901 · Aviso do Fabricante
• https://osv.dev/vulnerability/ghsa-389x-839f-4rhx · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-2976 · Nota de Segurança
• https://osv.dev/vulnerability/ghsa-jc7h-c423-mpjc · Nota
• https://osv.dev/vulnerability/ghsa-qccp-gfcp-xxvc · Nota
• https://osv.dev/vulnerability/CVE-2015-0886 · Nota
• https://osv.dev/vulnerability/ghsa-xq3w-v528-46rv · Nota