CVE-2025-25298
Açıklama
Strapi, açık kaynaklı bir headless CMS'dir. @strapi/core paketi 5.10.3 sürümünden önce, parola karma işlemi için bcryptjs kullanıldığında maksimum parola uzunluğunu zorunlu kılmaz. Bcryptjs, 72 baytın ötesindeki tüm baytları yok sayar, bu nedenle 72 bayttan uzun parolalar sessizce kesilir. Bir kullanıcı 72 baytı aşan bir parola ile hesap oluşturabilir ve daha sonra yalnızca ilk 72 bayt ile kimlik doğrulaması yapabilir. Bu durum, aşırı uzun parolaların etkin entropisini azaltır ve 72 baytın ötesindeki karakterlerin gerekli olduğuna inanan kullanıcıları yanıltabilir; bir saldırganın kesilen kısmı elde etmesi veya tahmin etmesi durumunda kasıtsız kimlik doğrulama olasılığı düşük olsa da bu durum ortaya çıkar. Aşırı uzun girişler gereksiz işlem yükü de oluşturabilir. Sorun 5.10.3 sürümünde giderilmiştir. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- strapi strapi5.10.3 ya da sonraki bir sürüm
- @strapi/core5.10.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| strapi strapi | v < 5.10.3 | 5.10.3 |
| @strapi/corenpm | v < 5.10.3 | 5.10.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.