Vulnerability Details CVE-2026-23901
Observable Timing Discrepancy vulnerability in Apache Shiro.
This issue affects Apache Shiro: from 1.*, 2.* before 2.0.7.
Users are recommended to upgrade to version 2.0.7 or later, which fixes the issue.
Prior to Shiro 2.0.7, code paths for non-existent vs. existing users are different enough,
that a brute-force attack may be able to tell, by timing the requests only, determine if
the request failed because of a non-existent user vs. wrong password.
The most likely attack vector is a local attack only.
Shiro security model https://shiro.apache.org/security-model.html#username_enumeration discusses this as well.
Typically, brute force attack can be mitigated at the infrastructure level.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.0
EPSS Ranking 0.3%
CVSS Severity
CVSS v3 Score 2.5
References
Products affected by CVE-2026-23901
-
cpe:2.3:a:apache:shiro:-
-
cpe:2.3:a:apache:shiro:1.1.0
-
cpe:2.3:a:apache:shiro:1.10.0
-
cpe:2.3:a:apache:shiro:1.10.1
-
cpe:2.3:a:apache:shiro:1.11.0
-
cpe:2.3:a:apache:shiro:1.12.0
-
cpe:2.3:a:apache:shiro:1.13.0
-
cpe:2.3:a:apache:shiro:1.2.0
-
cpe:2.3:a:apache:shiro:1.2.1
-
cpe:2.3:a:apache:shiro:1.2.2
-
cpe:2.3:a:apache:shiro:1.2.3
-
cpe:2.3:a:apache:shiro:1.2.4
-
cpe:2.3:a:apache:shiro:1.2.5
-
cpe:2.3:a:apache:shiro:1.2.6
-
cpe:2.3:a:apache:shiro:1.3.0
-
cpe:2.3:a:apache:shiro:1.3.1
-
cpe:2.3:a:apache:shiro:1.3.2
-
cpe:2.3:a:apache:shiro:1.4.0
-
cpe:2.3:a:apache:shiro:1.4.1
-
cpe:2.3:a:apache:shiro:1.4.2
-
cpe:2.3:a:apache:shiro:1.5.0
-
cpe:2.3:a:apache:shiro:1.5.1
-
cpe:2.3:a:apache:shiro:1.5.2
-
cpe:2.3:a:apache:shiro:1.5.3
-
cpe:2.3:a:apache:shiro:1.6.0
-
cpe:2.3:a:apache:shiro:1.7.0
-
cpe:2.3:a:apache:shiro:1.7.1
-
cpe:2.3:a:apache:shiro:1.8.0
-
cpe:2.3:a:apache:shiro:1.9.0
-
cpe:2.3:a:apache:shiro:1.9.1
-
cpe:2.3:a:apache:shiro:2.0.0
-
cpe:2.3:a:apache:shiro:2.0.1
-
cpe:2.3:a:apache:shiro:2.0.2
-
cpe:2.3:a:apache:shiro:2.0.3
-
cpe:2.3:a:apache:shiro:2.0.4
-
cpe:2.3:a:apache:shiro:2.0.5
-
cpe:2.3:a:apache:shiro:2.0.6