FreshRSS heeft een authenticatie bypass door een afgekapt (truncated) bcrypt hash [edge branch]

FreshRSS is een gratis, zelf-hostbare RSS aggregator. Van 57e1a37 - 00f2f04 is de lengte van de nonce veranderd van 40 karakters naar 64. password_verify() wordt momenteel aangeroepen met een geconstrueerde string (SHA-256 nonce + deel van een bcrypt hash) in plaats van het ruwe gebruikerswachtwoord. Door bcrypt’s 72-byte input truncatie, zorgt dit ervoor dat wachtwoordverificatie slaagt, zelfs wanneer de gebruiker een incorrect wachtwoord invoert. Deze kwetsbaarheid is verholpen in 1.27.2-dev (476e57b). Het probleem was alleen aanwezig in de edge branch en nooit in een stabiele release.