p PatchFirst

GHSA-6pq8-67pw-j6hw

GHSA-6pq8-67pw-j6hw · Time-Based Information Disclosure Vulnerability in Flow

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The PersistedUsernamePasswordProvider was prone to a information disclosure of account existance based on timing attacks as the hashing of passwords was only done in case an account was found. We changed the core so that the provider always does a password comparison in case credentials were submitted at all.

CVSS 5.3 · Moyenne · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • neos/flow Packagist

    Versions du logiciel
    • 2.3.0
    • 2.3.1
    • 2.3.10
    • 2.3.11
    • 2.3.12
    • 2.3.13
    • 2.3.14
    • 2.3.15
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.3.0, < 2.3.16

    Mettez à jour vers 2.3.16

  • neos/flow Packagist

    Versions du logiciel
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.0.6
    • 3.0.7
    • 3.0.8
    • 3.0.9
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.0.0, < 3.0.10

    Mettez à jour vers 3.0.10

  • neos/flow Packagist

    Versions du logiciel
    • 3.1.0
    • 3.1.1
    • 3.1.2
    • 3.1.3
    • 3.1.4
    • 3.1.5
    • 3.1.6
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.1.0, < 3.1.7

    Mettez à jour vers 3.1.7

  • neos/flow Packagist

    Versions du logiciel
    • 3.2.0
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.2.6
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.2.0, < 3.2.7

    Mettez à jour vers 3.2.7

  • neos/flow Packagist

    Versions du logiciel
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.3.0, < 3.3.5

    Mettez à jour vers 3.3.5

Sources originales

Vérifiez votre serveur →