GitHub 安全公告库 (GHSA)·2026-10-21 02:17· 2 天前AI 评分25

ApostropheCMS 认证后改密接口缺少尝试节流，可无限猜解当前密码

ApostropheCMS: No Attempt Throttling on Authenticated Password-Change Endpoint Enables Unlimited Current-Password Guessing

AI 导读

ApostropheCMS 的 PATCH /api/v1/@apostrophecms/settings/password 改密接口在校验当前密码时未调用登录模块的失败计数、延迟或锁定机制，持有有效认证会话的攻击者可反复猜解当前密码而不被锁定。