apache / apache/cloudstack

No validation done when user resets a password

オープン
#12,580 コメント 3 件 リアクション 0 件 担当者 0 名 GitHub で見る
no-issue-activity type:enhancement type:new-feature
主要言語
Java
スター
3.1k
フォーク
1.4k
平均マージ
6日 19時間
マージ済み PR(30日)
32

説明

### The required feature described as a wish

Steps to reproduce the issue

1. Enable the global setting "user.password.reset.enabled"

2. Click on forgot password option from the UI

Image

Image

Image

Image

3. User provides the same password, Cloudstack doesn't validate the password and sets the same password for the user

Expected behaviour

Cloudstack should validate if the same password is used for reset password, this can prevent security related issues

コントリビューションガイド

コントリビューションガイドを開く

調査の方向性

"user.password.reset.enabled" を有効にした後、まず UI から CloudStack のパスワードリセットフローを追跡します。送信されたパスワードがどこで検証されるかを確認し、既存のパスワードへのリセットが拒否されることを検証します。再現手順と期待される動作を完了条件として使用してください。

索引モデルが issue の本文から書いたものです。

評価

技術スタック
java
領域
authentication, security
issue の種類
バグ
難易度
3/5
見積もり時間
1〜2日
活発さ
静か
明瞭さ
おおむね明確
初心者へのやさしさ
45/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。