一、 漏洞 CVE-2022-37146 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
PlexTrac平台在1.28.0版本之前允许通过HTTP响应时间来枚举未验证的登录尝试，以使用PlexTrac身份验证提供商的用户。配置为使用PlexTrac作为身份验证提供商的合法、解锁的用户登录尝试比未验证的用户登录尝试要长得多，从而允许未授权的远程攻击者枚举合法的用户。注意，在Plextrac版本1.17.0中实施的冲突解决策略无法区分合法、已锁定的用户账户和不存在的用户账户，但并未阻止合法、已解锁的用户被枚举。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The PlexTrac platform prior to version 1.28.0 allows for username enumeration via HTTP response times on invalid login attempts for users configured to use the PlexTrac authentication provider. Login attempts for valid, unlocked users configured to use PlexTrac as their authentication provider take significantly longer than those for invalid users, allowing for valid users to be enumerated by an unauthenticated remote attacker. Note that the lockout policy implemented in Plextrac version 1.17.0 makes it impossible to distinguish between valid, locked user accounts and user accounts that do not exist, but does not prevent valid, unlocked users from being enumerated.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
PlexTrac 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
PlexTrac是美国PlexTrac公司的一个渗透测试报告和管理平台。 PlexTrac platform 1.28.0之前版本存在安全漏洞，该漏洞源于允许通过HTTP响应时间对配置为使用PlexTrac身份验证提供程序的用户进行无效登录尝试进行用户名枚举。配置为使用PlexTrac作为其身份验证提供程序的有效、未锁定用户的登录尝试比无效用户的登录尝试花费的时间要长得多，从而允许未经身份验证的远程攻击者枚举有效用户。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2022-37146 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2022-37146 的情报信息