CVE-2025-42615

Təsirə məruz qalan versiyalarda vulnerability-lookup İki Faktorlu Autentifikasiya (2FA) yoxlaması zamanı uğursuz Bir Dəfəlik Parol (OTP) cəhdlərini izləmir və ya məhdudlaşdırmırdı. Valid istifadəçi adı və şifrəni artıq bilən və ya təxmin edən hücumçu, hesabın bloklanmasına səbəb olmadan və ya administratorlar üçün hər hansı xüsusi xəbərdarlıq yaratmadan istənilən sayda OTP kodu göndərə bilərdi. OTP uğursuzluqları üzrə sürət məhdudiyyətinin (rate-limiting) və bloklamanın olmaması, 2FA kodlarına qarşı onlayn brute-force hücumlarının xərclərini əhəmiyyətli dərəcədə azaldır və xüsusilə OTP entropiyası aşağı olduqda (məsələn, qısa rəqəmsal kodlar, istifadəçinin təkrar istifadəsi və ya proqnozlaşdırıla bilən tokenlər) hesabın ələ keçirilməsi riskini artırır. Əlavə olaraq, administratorların təkrar 2FA uğursuzluqları yaşayan hesablarla bağlı birbaşa görünürlüyü yox idi ki, bu da hədəflənmiş hücumların aşkar edilməsini və araşdırılmasını çətinləşdirirdi. Yamaq istifadəçi hesablarında daimi failed_otp_attempts sayğacını tətbiq edir, 5 yanlış OTP göndərişindən sonra istifadəçini bloklayır, uğurlu yoxlamadan sonra sayğacı sıfırlayır və uğursuz 2FA cəhlərini admin istifadəçi siyahısında göstərir. Bu, OTP brute-force cəhdləri üçün hesabın bloklanması siyasətini tətbiq edir və şübhəli 2FA fəaliyyətlərinin monitorinqi imkanlarını təkmilləşdirir. Bu problem Vulnerability-Lookup: 2.18.0 versiyasından əvvəlki versiyalara təsir edir.