OpenAtlas – Schwachstelle User Enumeration 

CVE-2025-56423 – Standard-Fehlermeldung zur Benutzerevaluierung

Metadaten

CVE-ID	CVE-2025-56423
Produkt	OpenAtlas
Hersteller	Austrian Academy of Sciences Österreichische Akademie der Wissenschaften
Betroffene Version	<= 8.12.0
Behobene Version	8.12.1
CVSS v3.1	5.3 Medium CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CWE	CWE-203 CWE-204
Referenz	OpenAtlas Release Notes
NVD
EUVD
Gefunden am	19.Mai.2025
Gefunden von	Ferat Aydin

Schwachstellenbeschreibung

Die Anmeldemaske liefert zwei verschiedene Fehlermeldungen:
„Wrong Password” -> Benutzername existiert.
„No user with this name found” -> Konto existiert nicht.

Auswirkungen

• Angreifer können so automatisiert eine Wortliste durchprobieren und alle gültigen Accounts auflisten. Das erleichtert Brute-Force-Angriffe, Credential-Stuffing, Phishing

Hersteller-Statement

“Bei einem inkorrekten Login wird jetzt nicht mehr angezeigt ob es an dem Usernamen oder Passwort lag sondern nur “Invalid user or password” angezeigt.”

Empfehlungen

• Update auf Aktuelle Version[OpenAtlas Version]

Proof of Concept / Beweisführung

Diese Schwachstelle wurde im Rahmen eines Penetrationstests einer internen Infrastruktur entdeckt.

Zeitleiste

2025	Ereignis	Anmerkung
19. Mai	Entdeckung der Schwachstelle	Schwachstelle im Rahmen eines On-Premise-Tests entdeckt
21. Mai	Erster Kontakt	Versuch der Kontaktaufnahme mit dem zuständigen Prozessverantwortlichen über openatlas@oeaw.ac.at
22. Mai	Einwilligung zur Berichtsübermittlung	Hersteller stimmt der unverschlüsselten Übermittlung des Berichts zu
26. Mai	Übermittlung des Berichts	Bericht an Hersteller gesendet
29. Juni	Review und Rückmeldung	Hersteller informiert die Researcher das die Schwachstelle behoben wurde
11. September	MITRE CVE	Erhalte der CVE von MITRE

Dank & Annerkennung