CVE-2024-24771

Open Forms, kullanıcıların akıllı formlar oluşturmasına ve yayınlamasına olanak tanır. 2.2.9, 2.3.7, 2.4.5 ve 2.5.2 öncesindeki sürümler, istismar edilemeyen bir çok faktörlü kimlik doğrulama zayıflığı içermektedir. Kimlik bilgileri (kullanıcı adı + şifre) ele geçirilen süper kullanıcıların, bir saldırganın bir şekilde Open Forms üzerinde kimlik doğrulamayı başarması durumunda, ikinci faktör kimlik doğrulamasının atlatılması potansiyel olarak mümkündür. Open Forms geliştiricileri, bu giriş işlemini gerçekleştirmenin mümkün olduğuna veya gerçekleştirilmiş olabileceğine inanmamaktadır. Ancak, bunun mümkün olması durumunda, mağdurun hesabı (potansiyel olarak hassas) gönderim verilerini görüntülemek için kötüye kullanılabilir veya diğer personel hesaplarını taklit ederek veri görüntülemek ve/veya değiştirmek için kullanılmış olabilir. İstismarı önlemeye yardımcı olan üç hafifletici faktör şunlardır: standart giriş sayfası (`/admin/login/`), ikinci faktör başarıyla sağlanana kadar kullanıcıyı tamamen içeri almaz; `/api/v2/api-authlogin/` adresindeki MFA korumalı olmayan ek giriş sayfası yanlış yapılandırılmıştır ve giriş yapmak için kullanılamazdır; ayrıca başka hiçbir giriş yolu bulunmamaktadır. Bunun istismar edilebilmesi için aynı zamanda bir süper kullanıcının kimlik bilgilerinin ele geçirilmiş olması gerekir. 2.2.9, 2.3.7, 2.4.5 ve 2.5.2 sürümleri, bu zayıflıkları gidermek için aşağıdaki yamaları içerir: API kimlik doğrulama uç noktalarını (`/api/v2/api-auth/login/`) taşıyın ve yalnızca `settings.DEBUG = True` ile etkinleştirin. `settings.DEBUG = True` güvensizdir ve üretim ayarlarında asla uygulanmamalıdır. Ek olarak, kullanıcı gaspı (hijacking) işleminin yalnızca ikinci faktörü doğrulanmış süper kullanıcılar tarafından gerçekleştirilmesine izin vermek için gasp akışına özel bir izin kontrolü uygulayın.