CVE-2025-42615

Etkilenen sürümlerde, vulnerability-lookup İki Faktörlü Kimlik Doğrulama (2FA) doğrulaması sırasında başarısız Tek Kullanımlık Şifre (OTP) denemelerini takip etmemekte veya sınırlandırmamaktadır. Geçerli bir kullanıcı adını ve parolayı halihazırda bilen veya tahmin eden bir saldırgan, hesabın kilitlenmesine neden olmadan veya yöneticiler için herhangi bir özel uyarı oluşturmadan rastgele sayıda OTP kodu gönderebilir. OTP hatalarında hız sınırlamasının ve hesap kilitlemenin olmaması, 2FA kodlarına yönelik çevrimiçi kaba kuvvet (brute-force) saldırılarının maliyetini önemli ölçüde düşürür ve özellikle OTP entropisi düşükse (örneğin kısa sayısal kodlar, kullanıcı yeniden kullanımı veya öngörülebilir belirteçler) başarılı hesap ele geçirme riskini artırır. Ek olarak, yöneticilerin tekrarlanan 2FA hataları yaşayan hesaplara dair doğrudan görünürlüğü bulunmamaktaydı; bu durum hedefli saldırıların tespit edilmesini ve araştırılmasını zorlaştırmaktaydı. Yama, kullanıcı hesaplarında kalıcı bir failed_otp_attempts sayacı eklemekte, 5 geçersiz OTP gönderiminden sonra kullanıcıyı kilitlemekte, başarılı doğrulamada sayacı sıfırlamakta ve başarısız 2FA denemelerini yönetici kullanıcı listesinde göstermektedir. Bu işlem, OTP kaba kuvvet denemeleri için bir hesap kilitleme politikası uygular ve şüpheli 2FA etkinlikleri için izleme yeteneklerini geliştirir. Bu sorun Vulnerability-Lookup'ın 2.18.0 öncesi sürümlerini etkilemektedir.