OMERO.web displays unecessary user information when requesting password reset
Background
If an error occurred when resetting a user's password using the Forgot Password option in OMERO.web, the error message displayed on the Web page can disclose information about the user.
Impact
OMERO.web before 5.29.1
Patches
User should upgrade to 5.29.2 or higher
Workarounds
Disable the Forgot password option in OMERO.web using the omero.web.show_forgot_password configuration property^1.
Thanks to Christopher Youd who reported the issue.
Open an issue in omero-web Email us at security@openmicroscopy.org
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | omero-web | < 5.29.2 | 5.29.2 |
Odnośniki
- https://github.com/ome/omero-web/security/advisories/GHSA-gpmg-4x4g-mr5r
- https://nvd.nist.gov/vuln/detail/CVE-2025-54791
- https://github.com/ome/omero-web/commit/8aa2789e8f759c73f1517abe9a0abd44e86644ad
- https://github.com/ome/omero-web
- https://pypi.org/project/omero-web
- https://github.com/advisories/GHSA-gpmg-4x4g-mr5r
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N- Słabość (CWE)
CWE-209- Platforma
- Python (PyPI)
- Paczka
omero-web- Ujawniono
- 13.08.2025
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1717 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-gpmg-4x4g-mr5r - CC BY 4.0
Historia podatności: omero-web
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 7
- Pierwsza → ostatnia
- 06.2020 11.2025
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 1
- Średnia 4
- Niska 1
Ujawnienia w latach
- 2020: 1
- 2021: 3
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 2
- 2026: 0
-
OMERO.web displays unecessary user information when requesting password reset ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.