Rancoud

Existe um problema onde invasores não autenticados podem causar exaustão de recursos ao criar repetidamente blueprints anônimos para preencher o armazenamento do servidor. Isso é feito enviando solicitações grandes para a função `HomeController::doProcessCreateBlueprint()` com a variável `expiration` definida como 'never', o que ignora as expurgos automáticos e leva a uma negação de serviço.

Existe um problema em `LoginMiddleware.php` onde os contadores de falhas de login são baseados em nomes de usuário sensíveis a maiúsculas e minúsculas. Como as pesquisas no MySQL não diferenciam maiúsculas de minúsculas, invasores não autenticados podem ignorar o bloqueio por conta e realizar ataques de força bruta de senha variando a capitalização do nome de usuário.

Um problema de enumeração de contas existe no arquivo `ForgotPasswordMiddleware.php`. Atacantes não autenticados podem identificar endereços de e-mail registrados comparando os alvos de redirecionamento de redefinição de senha para e-mails enviados. Como as pesquisas malsucedidas não possuem limite de taxa, atacantes podem realizar tentativas de enumeração ilimitadas.

Existe um problema de expiração de sessão insuficiente onde a função `findUserIDWithConfirmedToken()` em `UserModel` ignora a variável `confirmed sent at`. Isso permite que invasores que obtenham um link de confirmação antigo de uma caixa de correio comprometida, backup ou e-mail encaminhado ativem contas não confirmadas e evitem a tarefa de limpeza de contas não confirmadas.