florian.wilde/nebula
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 20 Wiki Activity

20 Releases 20 Tags

RSS Feed
  • v1.8.0 a122187feb
    Compare

    v1.8.0 — Durchgang durch Anmeldung und Sitzungen nach OWASP
    CI / pruefen (push) Canceled after 0s
    Details
    Stable

    florian.wilde released this 2026-08-18 05:53:00 +00:00 | 33 commits to main since this release

    Durchgang durch Anmeldung und Sitzungen nach OWASP.

    • Besser — Passwörter werden deutlich aufwendiger gehasht (scrypt mit N=2^17 statt 2^15) — das entspricht der Empfehlung des OWASP Password Storage Cheat Sheet. Bestehende Passwörter werden bei der nächsten Anmeldung still auf den neuen Stand gebracht.
    • Behoben — Die Anmeldung verriet, welche Benutzernamen existieren: gesperrte, deaktivierte und reine Passkey-Konten antworteten anders als unbekannte — und das schon vor der Passwortprüfung. Jetzt gibt es die Auskunft erst, wenn das Passwort stimmt.
    • Neu — Sitzungen laufen nach acht Stunden ohne Nutzung ab, zusätzlich zur bestehenden Frist von 30 Tagen. Einstellbar über SESSION_IDLE_HOURS; 0 schaltet es ab.
    • Besser — Das Sitzungscookie trägt bei HTTPS den Präfix „__Host-“ und gilt nur noch SameSite=Strict. Beides muss einmalig neu angemeldet werden.
    • Besser — Die Passwortprüfung erkennt jetzt Wiederholungen, Zeichenfolgen und Passwörter, die den eigenen Benutzernamen enthalten.

    Veröffentlicht am 15.08.2026. Der Text stammt aus dem Änderungsverlauf der Anwendung (src/lib/changelog.ts).

    Downloads