一、 漏洞 CVE-2025-25298 基础信息
漏洞信息
                                        # Strapi 密码哈希最大长度验证缺失漏洞

## 概述

Strapi 是一个开源的无头 CMS。在版本 5.10.3 之前的 `@strapi/core` 包中，使用 bcryptjs 进行密码哈希时未限制密码的最大长度。

## 影响版本

受影响版本：`@strapi/core` < 5.10.3

## 漏洞细节

- Bcryptjs 在处理超过 72 字节的密码时，会**忽略超出部分**，而不会报错或提示。
- 用户可以使用超过 72 字节的密码注册，但在认证时，系统仅验证前 72 字节。
- 密码被**静默截断**，导致**熵值降低**。
- 用户可能误以为所有字符都会被验证，带来**潜在的安全误判**。
- 输入特别长的密码会增加不必要的处理开销。

## 影响

- **用户可能意外通过认证**，如果攻击者能够获取或猜出前 72 字节的内容。
- **降低密码安全性**，特别是对于使用长密码作为安全策略的用户。
- **无已知的规避方法**，建议尽快升级至修复版本 5.10.3。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Missing Maximum Password Length Validation in Strapi Password Hashing
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Strapi is an open source headless CMS. The @strapi/core package before version 5.10.3 does not enforce a maximum password length when using bcryptjs for password hashing. Bcryptjs ignores any bytes beyond 72, so passwords longer than 72 bytes are silently truncated. A user can create an account with a password exceeding 72 bytes and later authenticate with only the first 72 bytes. This reduces the effective entropy of overlong passwords and may mislead users who believe characters beyond 72 bytes are required, creating a low likelihood of unintended authentication if an attacker can obtain or guess the truncated portion. Long over‑length inputs can also impose unnecessary processing overhead. The issue is fixed in version 5.10.3. No known workarounds exist.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
口令使用弱密码学算法
来源：美国国家漏洞数据库 NVD
漏洞标题
Strapi 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Strapi是法国strapi社区的一套开源的内容管理系统（CMS）。 Strapi 5.10.3之前版本存在安全漏洞，该漏洞源于未强制执行bcryptjs密码哈希的最大密码长度，可能导致密码被静默截断。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-25298 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-25298 的情报信息
四、漏洞 CVE-2025-25298 的评论

暂无评论

发表评论