FreshRSS présente un contournement d'authentification dû à une troncature du hash bcrypt [branche edge]

FreshRSS est un agrégateur RSS auto-hébergé et gratuit. De 57e1a37 - 00f2f04, les longueurs du nonce ont été modifiées de 40 caractères à 64. password_verify() est actuellement appelé avec une chaîne construite (nonce SHA-256 + partie d'un hash bcrypt) au lieu du mot de passe utilisateur brut. En raison de la troncature de l'entrée de 72 octets de bcrypt, cela provoque la réussite de la vérification du mot de passe même lorsque l'utilisateur entre un mot de passe incorrect. Cette vulnérabilité est corrigée dans 1.27.2-dev (476e57b). Le problème n'était présent que dans la branche edge et n'a jamais été présent dans une version stable.