FreshRSS hat einen Authentifizierungs-Bypass aufgrund eines abgeschnittenen bcrypt Hash (edge branch)

FreshRSS ist ein kostenloser, selbst gehosteter RSS-Aggregator. Von 57e1a37 - 00f2f04 wurde die Länge der Nonce von 40 Zeichen auf 64 geändert. password_verify() wird derzeit mit einer konstruierten Zeichenkette (SHA-256 Nonce + Teil eines bcrypt Hash) anstatt des rohen Benutzerpassworts aufgerufen. Aufgrund der 72-Byte-Eingabetrennung von bcrypt führt dies dazu, dass die Passwortverifizierung erfolgreich ist, auch wenn der Benutzer ein falsches Passwort eingibt. Diese Schwachstelle ist in 1.27.2-dev (476e57b) behoben. Das Problem war nur im edge branch vorhanden und nie in einer stabilen Version.