FreshRSS tiene una omisión de autenticación debido a un hash bcrypt truncado [rama edge]

FreshRSS es un agregador RSS gratuito y auto-alojado. Desde 57e1a37 - 00f2f04, las longitudes del nonce se cambiaron de 40 caracteres a 64. Actualmente, password_verify() se está llamando con una cadena construida (nonce SHA-256 + parte de un hash bcrypt) en lugar de la contraseña de usuario sin procesar. Debido a la truncación de entrada de 72 bytes de bcrypt, esto causa que la verificación de contraseña tenga éxito incluso cuando el usuario ingresa una contraseña incorrecta. Esta vulnerabilidad se corrige en 1.27.2-dev (476e57b). El problema solo estaba presente en la rama edge y nunca en una versión estable.