CVE-2024-24771 in open-forms
Résumé
par VulDB • 20/05/2026
Open Forms permet aux utilisateurs de créer et de publier des formulaires intelligents. Les versions antérieures à 2.2.9, 2.3.7, 2.4.5 et 2.5.2 contiennent une faiblesse d'authentification multi-facteurs (MFA) non exploitable. Les superutilisateurs dont les identifiants (nom d'utilisateur + mot de passe) ont été compromis pourraient potentiellement voir leur authentification à second facteur contournée si un parvenait à s'authentifier auprès d'Open Forms. Les mainteneurs d'Open Forms ne croient pas qu'il soit ou ait été possible d'effectuer cette connexion. Cependant, si cela était possible, le compte de la victime pourrait être abusé pour consulter (potentiellement des données sensibles) ou être utilisé pour usurper l'identité d'autres comptes de personnel afin de consulter et/ou modifier des données. Trois facteurs atténuants contribuent à empêcher l'exploitation : la page de connexion habituelle (à `/admin/login/`) ne connecte pas entièrement l'utilisateur tant que le second facteur n'a pas été fourni avec succès ; la page de connexion supplémentaire non protégée par MFA à `/api/v2/api-authlogin/` était mal configurée et ne pouvait pas être utilisée pour se connecter ; et il n'existe aucun autre moyen de se connecter. Cela nécessite également que les identifiants d'un superutilisateur soient compromis pour être exploitables. Les versions 2.2.9, 2.3.7, 2.4.5 et 2.5.2 contiennent les correctifs suivants pour remédier à ces faiblesses : déplacer et n'activer les points de terminaison d'authentification API (`/api/v2/api-auth/login/`) qu'avec `settings.DEBUG = True`. `settings.DEBUG = True` est insécurisé et ne doit jamais être appliqué dans des paramètres de production. De plus, appliquer une vérification de permission personnalisée au flux de hijack pour n'autoriser que les superutilisateurs vérifiés par second facteur à effectuer le hijack d'utilisateur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.