CVE-2024-42850

Silverpeas v6.4.2 及更低版本的密码更改功能中存在一个问题，允许绕过密码复杂度要求。

分析

更改密码时，在提交新密码后，密码首先会通过 POST 请求发送到一个端点，该端点会检查密码是否符合复杂度要求。

在 Silverpeas 确认密码符合要求后，会发出另一个 POST 请求来更新账户，且该请求不再对密码进行任何检查，因此可以设置单个字符的密码。