Flask-AppBuilder Has No Rate Limiting on Login AUTH DB

高 7.5CVE-2023-29005 · GHSA-9hcr-9hcv-x6pv · PYSEC-2026-1380 · 10/04/2023 公開 · 17/06/2026 更新

要点

CVE-2023-29005 は flask-appbuilder, flask-appbuilder (dpgaspar) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.63%（全脆弱性の 50.1% より高い）。
対処：4.3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
flask-appbuilder PyPI	`< 4.3.0`	`4.3.0`
flask-appbuilder dpgaspar	`< 4.3.0`	`4.3.0`

概要

Impact

Lack of rate limiting will allow an attacker to brute-force user credentials.

Patches

Ability to enable rate limiting on Flask-AppBuilder >= 4.3.0. Use AUTH_RATE_LIMITED = True and RATELIMIT_ENABLED = True set the limit itself by using AUTH_RATE_LIMIT. Will apply only to database authentication.

Workarounds

Implement rate limiting using a reverse proxy or other strategies.

NVD の説明

Flask-AppBuilder versions before 4.3.0 lack rate limiting which can allow an attacker to brute-force user credentials. Version 4.3.0 includes the ability to enable rate limiting using `AUTH_RATE_LIMITED = True`, `RATELIMIT_ENABLED = True`, and setting an `AUTH_RATE_LIMIT`.