Flask-AppBuilder Has No Rate Limiting on Login AUTH DB

CAO 7.5CVE-2023-29005 · GHSA-9hcr-9hcv-x6pv · PYSEC-2026-1380 · Công bố 10/04/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-29005 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng flask-appbuilder, flask-appbuilder (dpgaspar).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.63%, cao hơn 50.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.3.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
flask-appbuilder PyPI	`< 4.3.0`	`4.3.0`
flask-appbuilder dpgaspar	`< 4.3.0`	`4.3.0`

Mô tả

Impact

Lack of rate limiting will allow an attacker to brute-force user credentials.

Patches

Ability to enable rate limiting on Flask-AppBuilder >= 4.3.0. Use AUTH_RATE_LIMITED = True and RATELIMIT_ENABLED = True set the limit itself by using AUTH_RATE_LIMIT. Will apply only to database authentication.

Workarounds

Implement rate limiting using a reverse proxy or other strategies.

Mô tả của NVD

Flask-AppBuilder versions before 4.3.0 lack rate limiting which can allow an attacker to brute-force user credentials. Version 4.3.0 includes the ability to enable rate limiting using `AUTH_RATE_LIMITED = True`, `RATELIMIT_ENABLED = True`, and setting an `AUTH_RATE_LIMIT`.