NocoDB: Correção de vulnerabilidade de timing side-channel na verificação de senha de visualização compartilhada
A verificação de senha de visualização compartilhada em View.
O que mudou
A verificação de senha de visualização compartilhada em View.ts e o verifyPassword do modelo de dashboard EE agora usam crypto.timingSafeEqual e uma comparação dummy de mesmo comprimento no caminho de incompatibilidade de comprimento, substituindo a comparação de igualdade estrita (===) que vazava o comprimento da senha e prefixo por caractere através do tempo de resposta.
Quem isso afeta
Usuários do NocoDB com visualizações compartilhadas que possuem senhas anteriores à migração bcrypt, e qualquer atacante posicionado na rede que possa medir o tempo das respostas de autenticação de visualização compartilhada.
O que fazer hoje
Atualize o NocoDB para a versão corrigida para eliminar a vulnerabilidade de canal lateral de tempo na verificação de senha de visualização compartilhada.