p PatchFirst

CVE-2025-25298

CVE-2025-25298 · Missing Maximum Password Length Validation in Strapi Password Hashing

CVSS 6.3 · Средний · EPSS 0,4% · Есть исправление

Затронуты ли вы?

  • strapiНет опубликованного исправления
  • @strapi/core npmОбновитесь до 5.10.3

Как узнать установленную версию:

npm ls @strapi/core

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания strapi и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Strapi is an open source headless CMS. The @strapi/core package before version 5.10.3 does not enforce a maximum password length when using bcryptjs for password hashing. Bcryptjs ignores any bytes beyond 72, so passwords longer than 72 bytes are silently truncated. A user can create an account with a password exceeding 72 bytes and later authenticate with only the first 72 bytes. This reduces the effective entropy of overlong passwords and may mislead users who believe characters beyond 72 bytes are required, creating a low likelihood of unintended authentication if an attacker can obtain or guess the truncated portion. Long over‑length inputs can also impose unnecessary processing overhead. The issue is fixed in version 5.10.3. No known workarounds exist.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • strapi

    Версии
    • < 5.10.3: Затронуто

    Нет опубликованного исправления

  • @strapi/core npm

    Затронутые диапазоны версий
    • SEMVER: < 5.10.3

    Обновитесь до 5.10.3

Первоисточники

Проверьте свой сервер →