Observable Response Discrepancy in Flask-AppBuilder

Flask-AppBuilder permite que usuarios no autenticados descubran qué cuentas existen en el sistema midiendo el tiempo de respuesta de la página de login. El servidor responde diferente para nombres de usuario válidos e inválidos, filtrando información sin necesidad de contraseña.

Una vulnerabilidad de timing side-channel en la autenticación por base de datos de Flask-AppBuilder (versiones ≤ 3.2.3) permite enumeración de usuarios sin autenticación a través de discrepancias en el tiempo de respuesta. Un atacante puede distinguir entre nombres de usuario válidos e inválidos analizando los tiempos de respuesta del login, facilitando ataques de fuerza bruta. La actualización a versión 3.3.0 o superior resuelve el problema.