Nota O marcador é um aplicativo de tomada de notas de código aberto. Em versões 0.19.1 e anteriormente, o endpoint de login realiza verificação de senha bcrypt somente quando o nome de usuário fornecido existe, retornando imediatamente para nomes de usuário inexistentes. Esta discrepância de tempo permite que atacantes não autenticados enumeram nomes de usuário válidos medindo os tempos de resposta, permitindo ataques credenciais direcionados. Este problema foi corrigido na versão 0.19.2. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40263 foi publicado em 2026 - 04 - 17 T 01: 17: 40.137 Z e última modificação em 2026 - 06 - 17 T 10: 44: 55.867 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 3.7, gravidade LOW, vetor CVSS: 3.1 /AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N, pontuação de exploração 2.2, pontuação de impacto 1.4; CVSS. Classificações de fraqueza associadas: CWE- 208.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.