Rallly - это инструмент для планирования и совместной работы с открытым исходным кодом. В версиях до 3.22.1 приложение использует аутентифи…

Rallly - это инструмент для планирования и совместной работы с открытым исходным кодом. В версиях до 3.22.1 приложение использует аутентификацию на основе токенов. Когда пользователь пытается войти в приложение, он вводит свой адрес электронной почты, и на его адрес отправляется 6-значный код для завершения аутентификации. Токен, состоящий только из 6 цифр, имеет слабую энтропию, что делает возможным для неаутентифицированного злоумышленника, знающего действительный адрес электронной почты, взломать токен в течение 15 минут (время действия токена) и захватить учетную запись, связанную с целевым адресом электронной почты [1]. Источники: - [1] https://github.com/lukevella/rallly/security/advisories/GHSA-gm8g-3r3j-48hv