Średnia

The FIDO2/Webauthn Support for PHP library allows enumeration of valid usernames

Ujawniono: 15.07.2024
Aktualizacja: 11.10.2026 10:22

Summary

The ProfileBasedRequestOptionsBuilder method returns allowedCredentials without any credentials if no username was found.

Details

When WebAuthn is used as the first or only authentication method, an attacker can enumerate usernames based on the absence of the allowedCredentials property in the assertion options response. This allows enumeration of valid or invalid usernames.

Proposal how to resolve it:

php

return $this->publicKeyCredentialRequestOptionsFactory->create(
            $this->profile,
            count($allowedCredentials) <= 0 ? self::getRandomCredentials(): $allowedCredentials,
            $optionsRequest->userVerification,
            $extensions
);

private static function getRandomCredentials(): array
{
        $credentialSources = [];
        for ($i = 0; $i <= rand(0,1); $i++) {
            $credentialSources[] = new PublicKeyCredentialSource(
                random_bytes(32),
                "public-key",
                [],
                "basic",
                new EmptyTrustPath(),
                Uuid::v7(),
                random_bytes(77),
                Uuid::v7()->__toString(),
                rand(0, 6000),
                null
            );
        }
        return array_map(
            static fn (PublicKeyCredentialSource $credential): PublicKeyCredentialDescriptor => $credential->getPublicKeyCredentialDescriptor(),
            $credentialSources
        );
}

PoC

curl https://example.com/assertion/options
-H 'content-type: application/json'
--data-raw '{"username":"NotMeRandomUsername123"}'

Impact

By knowing which usernames are valid, attackers can focus their efforts on a smaller set of potential targets, increasing the efficiency and likelihood of successful attacks.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	web-auth/webauthn-framework	>= 4.5.0, < 4.9.0	4.9.0
Paczka Composer	web-auth/webauthn-lib	>= 4.5.0, < 4.9.0	4.9.0

Odnośniki

Ocena CVSS 5.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-204
Platforma: Composer
Paczka: web-auth/webauthn-framework, web-auth/webauthn-lib
Ujawniono: 15.07.2024
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-875x-g8p7-5w27 - CC BY 4.0

Historia podatności: web-auth/webauthn-framework

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 09.2021 05.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Średnia 2
Niska 1

Ujawnienia w latach

2021: 1
2022: 0
2023: 0
2024: 1
2025: 0
2026: 2

07.05.2026

Webauthn has a User Verification Downgrade via Default-Open ClientOverridePolicy

Niska · 2.1 ghsa-h4fw-6r7f-w494 >= 5.3.0, < 5.3.1 5.3.1
10.03.2026

Webauthn Framework: allowed_origins collapses URL-like origins to host-only values, bypassing exact origin validation

Średnia · 5.4 CVE-2026-30964 >= 5.2.0, < 5.2.4 5.2.4
15.07.2024

The FIDO2/Webauthn Support for PHP library allows enumeration of valid usernames ten wpis

Średnia · 5.3 CVE-2024-39912 >= 4.5.0, < 4.9.0 4.9.0
29.09.2021

Improper Access Control in Webauthn Framework

Krytyczna · 9.8 CVE-2021-38299 >= 3.3.0, < 3.3.4 3.3.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację