CVE-2025-68113 in altcha-lib
Riassunto
di VulDB • 23/06/2026
ALTCHA è un software incentrato sulla privacy per la protezione da captcha e bot. Un difetto nel legame semantico crittografico nelle librerie ALTCHA consente il taglio del payload della sfida (challenge payload splicing), che potrebbe permettere attacchi di ripetizione (replay attacks). La firma HMAC non lega in modo inequivocabile i parametri della sfida al nonce, consentendo a un attaccante di reinterpretare una sottomissione valida di prova di lavoro con un valore di scadenza modificato. Ciò può consentire il riutilizzo delle sfide precedentemente risolte oltre la loro durata prevista, a seconda della gestione degli attacchi di ripetizione lato server e delle assunzioni relative alla distribuzione. La vulnerabilità impatta principalmente i meccanismi di prevenzione degli abusi come l'limitazione della frequenza (rate limiting) e la mitigazione dei bot. Non influisce direttamente sulla riservatezza o sull'integrità dei dati. Questo problema è stato risolto imponendo una separazione semantica esplicita tra i parametri della sfida e il nonce durante il calcolo HMAC. Si consiglia agli utenti di eseguire l'aggiornamento alle versioni patchate, che includono la versione 1.0.0 del pacchetto Golang altcha, la versione 1.0.0 del gem Ruby altcha, la versione 1.0.0 del pacchetto pip altcha, la versione 1.0.0 del pacchetto Erlang altcha, la versione 1.4.1 del pacchetto npm altcha-lib, la versione 1.3.1 del pacchetto Composer org.altcha/altcha e la versione 1.3.0 del pacchetto Maven org.altcha:altcha. Come misura di mitigazione, le implementazioni possono aggiungere un delimitatore alla fine del valore `salt` prima del calcolo HMAC (ad esempio, `<salt>?expires=<time>&`). Ciò previene l'ambiguità tra i parametri e il nonce ed è retrocompatibile con le implementazioni esistenti, poiché il delimitatore viene trattato come un separatore standard di parametri URL.
Once again VulDB remains the best source for vulnerability data.