Vulnerabilidad en parisneo/lollms (CVE-2025-6386)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
07/07/2025
Última modificación:
08/07/2025
Descripción
El repositorio parisneo/lollms se ve afectado por una vulnerabilidad de ataque de tiempo en la función `authenticate_user` del archivo `lollms_authentication.py`. Esta vulnerabilidad permite a los atacantes enumerar nombres de usuario válidos y adivinar contraseñas de forma incremental mediante el análisis de las diferencias en los tiempos de respuesta. La versión afectada es la más reciente y el problema se ha resuelto en la versión 20.1. La vulnerabilidad surge del uso del operador de igualdad de cadenas predeterminado de Python para la comparación de contraseñas, que compara caracteres secuencialmente y finaliza con la primera discrepancia, lo que genera tiempos de respuesta variables según el número de caracteres iniciales coincidentes.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA