CVE-2024-24771 in open-forms
Сводка
по VulDB • 28.05.2026
Open Forms позволяет пользователям создавать и публиковать интеллектуальные формы. Версии старше 2.2.9, 2.3.7, 2.4.5 и 2.5.2 содержат уязвимость многофакторной аутентификации, которая не может быть использована для эксплуатации (non-exploitable). Если учетные данные суперпользователей (имя пользователя + пароль) будут скомпрометированы, злоумышленник потенциально может обойти вторую факторную аутентификацию, если ему каким-либо образом удастся выполнить аутентификацию в Open Forms. Разработчики Open Forms не считают, что такая возможность входа существует или существовала ранее. Однако, если бы это было возможно, учетная запись жертвы могла бы быть использована для просмотра (потенциально конфиденциальных) данных заявок или для маскировки под другие учетные записи сотрудников с целью просмотра и/или изменения данных. Три смягчающих фактора, помогающих предотвратить эксплуатацию, включают: обычная страница входа (`/admin/login/`) не завершает вход пользователя полностью, пока не будет успешно предоставлен второй фактор; дополнительная страница входа, не защищенная MFA, по адресу `/api/v2/api-authlogin/`, была неправильно настроена и не могла использоваться для входа; а также отсутствуют дополнительные способы входа. Для эксплуатации также требуется компрометация учетных данных суперпользователя. Версии 2.2.9, 2.3.7, 2.4.5 и 2.5.2 содержат следующие исправления для устранения этих уязвимостей: перемещение и включение только эндпоинтов аутентификации API (`/api/v2/api-auth/login/`) при условии `settings.DEBUG = True`. Значение `settings.DEBUG = True` является небезопасным и никогда не должно применяться в производственных средах. Кроме того, применяется пользовательская проверка прав доступа к потоку захвата сессии (hijack flow), чтобы разрешить захват пользователей только суперпользователям, прошедшим проверку второго фактора.
If you want to get best quality of vulnerability data, you may have to visit VulDB.