CVE-2026-33667

OpenProject açık kaynaklı bir proje yönetim uygulamasıdır. 17.3.0 öncesindeki sürümlerde, two_factor_authentication modülünün confirm_otp eylemindeki 2FA OTP doğrulaması için herhangi bir hız sınırlaması, kilitleme mekanizması veya başarısız deneme takibi bulunmamaktadır. Mevcut brute_force_block_after_failed_logins ayarı yalnızca parola giriş hatalarını saymakta ve 2FA doğrulama aşamasına uygulanmamaktadır; ayrıca ne fail_login ne de stage_failure yöntemleri herhangi bir sayacı artırmakta, hesabı kilitlemekte veya herhangi bir gecikme eklemektedir. Herhangi bir zamanda yaklaşık 5 geçerli koda izin veren varsayılan ±60 saniyelik TOTP kayma penceresi ile, bir kullanıcının parolasını bilen bir saldırgan, 6 haneli TOTP kodunu saniyede yaklaşık 5-10 deneme ile yaklaşık 11 saatlik beklenen tamamlanma süresinde kaba kuvvetle (brute-force) çözebilir. Aynı güvenlik açığı yedek kod doğrulaması için de geçerlidir. Bu durum, parolasının bilindiği herhangi bir hesap için etkili bir şekilde tam 2FA kimlik doğrulama atlatmaya olanak tanır. Bu sorun 17.3.0 sürümünde düzeltilmiştir.