O `/ api/ v 1 O objetivo /auths/signin` vazou se um endereço de e- mail pertencia a uma conta registrada através de um canal lateral de tempo de resposta. A verificação da senha foi feita em bcrypt apenas quando o e- mail foi encontrado no banco de dados; para um e- mail inexistente, o pedido retornou cedo sem hashing. A comparação de bcrypt caro, portanto, fez com que as tentativas de conta válida respondessem significativamente mais lenta (~ 180 ms) do que os inexistentes (~ 5 ms), assim um atacante não autêntico poderia enumerar contas válidas medindo o tempo de resposta. Ao iniciar o login, o backend procurou o usuário por e- mail e só realizou a comparação de senha bcrypt se existisse um registro. Um e- mail faltante de curto-circuito antes de qualquer hashing, produzindo o intervalo de tempo. O truque de força bruta incorporado não o impediu: enviar um pedido de cada vez com um pequeno atraso entre os pedidos fica abaixo do limite de taxa enquanto ainda expõe a diferença. Observado na execução do repórter (HTTP) 400 para cada tentativa, o tempo de resposta é o sinal:.
``` Estado do e-mail Tempo de resposta joe@exemplo.com 400 186 ms <- conta válida larry@exemplo.com 400 9 ms jose@exemplo.com 400 6 ms james@ exemplo.com 400 5 ms ``` Um atacante não autenticado pode enumerar quais endereços de e- mail são contas registradas, o que permite que as senhas alvo sejam espiadas contra as contas confirmadas. O impacto é amplificado por MFA não ser ativado por padrão. Nenhum dado é lido ou modificado; a divulgação está limitada à existência da conta.
O caminho de autenticação agora executa uma verificação bcrypt contra um hash constante do marcador de lugares sempre que o email não resolve para um credencial ativo, então uma comparação real de hash executa em cada tentativa e o tempo de resposta é o mesmo se existe ou não a conta. Fixado 0.10.0. Registro de aconselhamento: GHSA- 7 rw 5 - 9 f 7 q- xj 36. Identificadores relacionados: CVE- 2026 - 59218.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 24 T 16: 55: 06.000 Z e lista a sua última modificação como 2026 - 07 - 24 T 16: 55: 06.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.
Informações sobre software e versão afetadas: Pacote PyPI open-webui — ECOSISTEM: introduzido 0, corrigido 0.10.0. Classificação e evidência: identificadores de fraqueza CWE- 208. O registro contém 6 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.