p PatchFirst

GHSA-6pq8-67pw-j6hw

GHSA-6pq8-67pw-j6hw · Time-Based Information Disclosure Vulnerability in Flow

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The PersistedUsernamePasswordProvider was prone to a information disclosure of account existance based on timing attacks as the hashing of passwords was only done in case an account was found. We changed the core so that the provider always does a password comparison in case credentials were submitted at all.

CVSS 5.3 · Mittel · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • neos/flow Packagist

    Softwareversionen
    • 2.3.0
    • 2.3.1
    • 2.3.10
    • 2.3.11
    • 2.3.12
    • 2.3.13
    • 2.3.14
    • 2.3.15
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 2.3.0, < 2.3.16

    Auf 2.3.16 aktualisieren

  • neos/flow Packagist

    Softwareversionen
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.0.6
    • 3.0.7
    • 3.0.8
    • 3.0.9
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 3.0.0, < 3.0.10

    Auf 3.0.10 aktualisieren

  • neos/flow Packagist

    Softwareversionen
    • 3.1.0
    • 3.1.1
    • 3.1.2
    • 3.1.3
    • 3.1.4
    • 3.1.5
    • 3.1.6
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 3.1.0, < 3.1.7

    Auf 3.1.7 aktualisieren

  • neos/flow Packagist

    Softwareversionen
    • 3.2.0
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.2.6
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 3.2.0, < 3.2.7

    Auf 3.2.7 aktualisieren

  • neos/flow Packagist

    Softwareversionen
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 3.3.0, < 3.3.5

    Auf 3.3.5 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →