标签: LDAP STS
CVE-2026-33419：LDAP STS 用户枚举与限流链
2026年04月15日 在 安全编年史
状态： 已发布，经历两轮后续修正 首个包含版本： RELEASE.2026-04-17T00-00-00Z 完整修正版本： RELEASE.2026-06-18T00-00-00Z GitHub Issue： pgsty/minio#23 核心漏洞很直接：LDAP STS 对“用户不存在”和“密码错误”返回不同结果，形成 username oracle。第一版修复统一外部错误，并增加 source IP 与 username 双重限流；连续复核却发现，成功退款、可伪造来源 …
状态： 已发布，经历两轮后续修正 首个包含版本： RELEASE.2026-04-17T00-00-00Z 完整修正版本： RELEASE.2026-06-18T00-00-00Z GitHub Issue： pgsty/minio#23 核心漏洞很直接：LDAP STS 对“用户不存在”和“密码错误”返回不同结果，形成 username oracle。第一版修复统一外部错误，并增加 source IP 与 username 双重限流；连续复核却发现，成功退款、可伪造来源 …