jesse-a/OpenCRM
1
0
Fork 0
Code Issues 1 Pull requests Projects Releases 1 Packages Wiki Activity Actions

HR-1: geen brute-force-bescherming op login + 2FA-stap #114

New issue
Closed
opened 2026-05-26 18:23:45 +00:00 by jesse-a · 1 comment
jesse-a commented 2026-05-26 18:23:45 +00:00
Owner
Copy link

Severity: MEDIUM

Login-endpoint had geen rate-limit op mislukte pogingen. Een aanvaller met een lijst van geleakte wachtwoorden kon onbeperkt proberen.

Fix: nieuwe lib/rate-limit.ts met in-memory limiter — per IP-adres max. 10 mislukte pogingen per 15 min, daarna 15 min lockout. Geldt voor zowel wachtwoord- als 2FA-stap. Reset bij succesvolle login.

**Severity: MEDIUM** Login-endpoint had geen rate-limit op mislukte pogingen. Een aanvaller met een lijst van geleakte wachtwoorden kon onbeperkt proberen. **Fix**: nieuwe `lib/rate-limit.ts` met in-memory limiter — per IP-adres max. 10 mislukte pogingen per 15 min, daarna 15 min lockout. Geldt voor zowel wachtwoord- als 2FA-stap. Reset bij succesvolle login.
jesse-a commented 2026-05-26 18:23:45 +00:00
Author
Owner
Copy link

Opgelost in commit 4d080f2.

Opgelost in commit 4d080f2.
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
main
v1.0.0
v0.11
v0.10
v0.9
v0.8
v0.7
v0.6
v0.5
Labels
Clear labels   
deferred
Known issue, deferred

  
fixed
Resolved

  
security
Security review finding

  
severity-high
High severity

  
severity-low
Low severity

  
severity-medium
Medium severity

No labels
deferred
fixed
security
severity-high
severity-low
severity-medium
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
jesse-a/OpenCRM#114
No description provided.