CVE:CVE-2022-41914
CNNVD:CNNVD-202211-2941
Zulip是美国Zulip公司的一款功能强大的开源群聊应用程序。用于将实时聊天的即时性与线程对话的生产力优势相结合。
Zulip 5.0至5.6版本存在信息泄露漏洞，该漏洞源于其使用一个没有在固定时间运行的比较器检查SCIM承载令牌导致攻击者可以通过对大量失败的请求执行复杂的时间分析来推断令牌的值。如果成功，攻击者就可以模拟SCIM客户端来读取和更新Zulip组织中的用户帐户。
solution:Upgrade zulip zulip_server to a higher version than 5.7,and avoid the version [5.0,5.7)