CVE-2026-33667

OpenProject açıq mənbəli layihə idarəetmə tətbiqidir. 17.3.0 versiyasından əvvəlki versiyalarda, two_factor_authentication modulunun confirm_otp hərəkətindəki 2FA OTP doğrulaması üçün heç bir tezlik məhdudiyyəti (rate limiting), bloklama mexanizmi və ya uğursuz cəhdlərin izlənilməsi mövcud deyil. Mövcud brute_force_block_after_failed_logins parametri yalnız şifrə ilə giriş uğursuzluqlarını sayır və 2FA doğrulama mərhələsinə tətbiq edilmir; həmçinin fail_login və stage_failure metodları heç bir sayğacı artırmır, hesabı bloklamır və ya gecikmə əlavə etmir. Standart ±60 saniyəlik TOTP sürüşmə pəncərəsi istənilən vaxtda təxminən 5 valid kodun istifadəsini mümkün etdiyi üçün, istifadəçinin şifrəsini bilən hücumçu 6 rəqəmli TOTP kodunu saniyədə təxminən 5-10 cəhdlə, gözlənilən tamamlanma müddəti təxminən 11 saat olmaqla brute-force edə bilər. Eyni zəiflik ehtiyat kodun (backup code) doğrulanmasına da şamil edilir. Bu, şifrəsi məlum olan istənilən hesab üçün 2FA-nın tamamilə yan keçilməsinə şərait yaradır. Bu problem 17.3.0 versiyasında düzəldilmişdir.