FreshRSS 存在身份验证绕过漏洞，原因是截断的 bcrypt 哈希 [edge 分支]

FreshRSS 是一个免费的、可自行托管的 RSS 聚合器。从 57e1a37 - 00f2f04 开始，nonce 的长度从 40 个字符更改为 64。目前正在使用构造的字符串 (SHA-256 nonce + bcrypt 哈希的一部分) 调用 password_verify()，而不是原始的用户密码。由于 bcrypt 的 72 字节输入截断，这会导致密码验证即使用户输入了错误的密码也能成功。此漏洞已在 1.27.2-dev (476e57b) 中修复。此问题仅存在于 edge 分支中，从未出现在稳定版本中。