CVE-2024-24771 in open-forms
Riassunto
di VulDB • 19/06/2026
Open Forms consente agli utenti di creare e pubblicare moduli intelligenti (smart forms). Le versioni precedenti alla 2.2.9, 2.3.7, 2.4.5 e 2.5.2 presentano una debolezza nell'autenticazione multi-fattore non sfruttabile. Gli amministratori superuser i cui credenziali (nome utente + password) sono stati compromessi potrebbero subire un bypass dell'autenticazione al secondo fattore se un attaccante riuscisse in qualche modo ad autenticarsi a Open Forms. I manutentori di Open Forms ritengono che non sia stato possibile né lo sia attualmente eseguire questo accesso. Tuttavia, qualora ciò fosse possibile, l'account della vittima potrebbe essere abusato per visualizzare dati di sottomissione (potenzialmente sensibili) o utilizzato per impersonare altri account del personale al fine di visualizzare e/o modificare i dati. Tre fattori mitiganti che aiutano a prevenire lo sfruttamento includono: la pagina di accesso standard (`/admin/login/`) non effettua completamente l'accesso dell'utente fino alla corretta fornitura del secondo fattore; la pagina di accesso aggiuntiva non protetta da MFA situata all'indirizzo `/api/v2/api-authlogin/` era configurata in modo errato e non poteva essere utilizzata per accedere; inoltre, non esistono altri metodi di accesso. Per lo sfruttamento è anche necessario che i credenziali di un superuser siano stati compromessi. Le versioni 2.2.9, 2.3.7, 2.4.5 e 2.5.2 contengono le seguenti patch per affrontare queste debolezze: spostare e abilitare esclusivamente gli endpoint di autenticazione API (`/api/v2/api-auth/login/`) solo quando `settings.DEBUG = True`. L'impostazione `settings.DEBUG = True` è insicura e non dovrebbe mai essere applicata in ambienti di produzione. Inoltre, applicare un controllo personalizzato delle autorizzazioni al flusso di hijack per consentire esclusivamente agli amministratori superuser verificati con il secondo fattore di eseguire l'hijacking degli utenti.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.