CVE-2024-24771 in open-forms
Tóm tắt
Bởi VulDB • 28/05/2026
Open Forms cho phép người dùng tạo và xuất bản các biểu mẫu thông minh. Các phiên bản trước 2.2.9, 2.3.7, 2.4.5 và 2.5.2 chứa một điểm yếu về xác thực đa yếu tố (multi-factor authentication) không thể khai thác được. Những người dùng superuser có thông tin đăng nhập (tên người dùng + mật khẩu) bị xâm phạm có thể bị bỏ qua yếu tố xác thực thứ hai nếu kẻ tấn công tìm cách đăng nhập vào Open Forms. Các nhà bảo trì của Open Forms không tin rằng việc thực hiện đăng nhập này là hoặc đã từng có thể xảy ra. Tuy nhiên, nếu điều này có thể xảy ra, tài khoản của nạn nhân có thể bị lạm dụng để xem (có thể là dữ liệu nhạy cảm) dữ liệu gửi lên hoặc được sử dụng để giả mạo các tài khoản nhân viên khác nhằm xem và/hoặc sửa đổi dữ liệu. Ba yếu tố giảm thiểu giúp ngăn chặn khai thác bao gồm: trang đăng nhập thông thường (tại `/admin/login/`) không đăng nhập người dùng hoàn toàn cho đến khi yếu tố thứ hai được cung cấp thành công; trang đăng nhập bổ sung không được bảo vệ bởi MFA tại `/api/v2/api-authlogin/` đã được cấu hình sai và không thể được sử dụng để đăng nhập; và không có cách nào khác để đăng nhập. Điều này cũng yêu cầu thông tin đăng nhập của một superuser bị xâm phạm để có thể khai thác. Các phiên bản 2.2.9, 2.3.7, 2.4.5 và 2.5.2 chứa các bản vá sau để giải quyết các điểm yếu này: Di chuyển và chỉ kích hoạt các điểm cuối xác thực API (`/api/v2/api-auth/login/`) với `settings.DEBUG = True`. `settings.DEBUG = True` không an toàn và không bao giờ nên được áp dụng trong môi trường sản xuất. Ngoài ra, áp dụng một kiểm tra quyền hạn tùy chỉnh vào quy trình chiếm quyền điều khiển (hijack flow) để chỉ cho phép các superuser đã được xác minh yếu tố thứ hai thực hiện việc chiếm quyền điều khiển người dùng.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.