CVE-2024-24771

Open Forms istifadəçilərə ağıllı formalar yaratmağa və dərc etməyə imkan verir. 2.2.9, 2.3.7, 2.4.5 və 2.5.2 versiyalarından əvvəlki versiyalar istismar edilə bilməyən çoxfaktorlu autentifikasiya zəifliyi ehtiva edir. Kimlik məlumatları (istifadəçi adı + şifrə) ələ keçirilmiş superistifadəçilər, hücumçu hər hansı şəkildə Open Forms sistemində autentifikasiya etməyi bacarsa, ikinci faktorlu autentifikasiyadan yan keçilməsi riski ilə üzləşə bilərdilər. Open Forms tərtibatçıları bu giriş prosesinin həyata keçirilməsinin mümkün olduğuna və ya keçmişdə həyata keçirildiyinə inanmırlar. Lakin, əgər bu mümkün olsaydı, qurbanın hesabı (potensial olaraq həssas olan) göndərilmiş məlumatlara baxmaq üçün sui-istifadə edilə bilərdi və ya digər personal hesablarını təqlid edərək məlumatları görmək və/və ya dəyişdirmək üçün istifadə edilə bilərdi. İstismarın qarşısını almağa kömək edən üç yumşaldıcı amil bunlardır: adi giriş səhifəsi (`/admin/login/` ünvanında) ikinci faktor uğurla təmin edilənə qədər istifadəçini tam daxil etmir; MFA ilə qorunmayan `/api/v2/api-authlogin/` ünvanındakı əlavə giriş səhifəsi yanlış konfiqurasiya edilmişdi və giriş üçün istifadə edilə bilmirdi; və giriş etmək üçün başqa heç bir yol yoxdur. Bunun istismar edilməsi üçün həmçinin superistifadəçinin kimlik məlumatlarının ələ keçirilməsi tələb olunur. 2.2.9, 2.3.7, 2.4.5 və 2.5.2 versiyaları bu zəiflikləri aradan qaldırmaq üçün aşağıdakı yamaları ehtiva edir: API auth son nöqtələrini (`/api/v2/api-auth/login/`) köçürmək və yalnız `settings.DEBUG = True` olduqda aktivləşdirmək. `settings.DEBUG = True` təhlükəsiz deyil və istehsalat (production) parametrlərində heç vaxt tətbiq edilməməlidir. Əlavə olaraq, istifadəçi qaçırma (hijack) axınına yalnız ikinci faktoru təsdiqlənmiş superistifadəçilərə istifadəçi qaçırma əməliyyatını yerinə yetirməyə icazə verən xüsusi icazə yoxlamasını tətbiq edin.