漏洞概述 标题: DoS Vulnerability on Public Login API 描述: 未检查密码的最大长度允许将任意大的密码传递给登录API。这会导致CPU和内存的激增，并且在测试后，崩溃会延迟任何创建的容器，甚至使docker守护进程以状态码500发送错误，即使容器已被销毁。 详细信息: 当在请求体中发送JSON到 路由时，如果发送了大密码，没有对密码长度进行任何检查。这意味着可以发送任何长度的字符串，它将被哈希。具体来说，函数 在用户提供的密码上被调用以哈希并检查是否有效，但该函数中没有对密码的最大长度进行检查。根据并发请求的数量，失败的登录尝试可能没有日志记录。 影响范围 受影响版本: <= 2.63.5 修复版本: 2.63.6 严重程度: 中等 (6.5 / 10) CVSS v3基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 低 - 用户交互: 无 - 范围: 未改变 - 机密性: 无 - 完整性: 无 - 可用性: 高 修复方案 升级到版本2.63.6或更高版本。 POC代码