PT-2026-33118
CVE-2026-33667
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-04-16
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenProject السابقة للإصدار 17.3.0
الوصف
يفتقر التحقق من رمز OTP الخاص بالمصادقة الثنائية (2FA) في الإجراء «confirm otp» التابع لوحدة
two factor authentication إلى آليات تحديد معدل المحاولات، أو آليات الحظر، أو تتبع المحاولات الفاشلة. لا يتتبع الإعداد brute force block after failed logins سوى حالات فشل تسجيل الدخول باستخدام كلمة المرور ولا ينطبق على مرحلة المصادقة الثنائية. بالإضافة إلى ذلك، لا تقوم الدالتان fail login وstage failure بزيادة العدادات أو قفل الحسابات أو فرض تأخيرات. نظرًا لأن نافذة الانحراف الافتراضية لكلمة المرور لمرة واحدة القائمة على الوقت (TOTP) البالغة ±60 ثانية تسمح بوجود عدة رموز صالحة في وقت واحد، يمكن للمهاجم الذي يمتلك كلمة مرور المستخدم استخدام القوة الغاشمة لاكتشاف رمز TOTP المكون من 6 أرقام. تؤثر هذه المشكلة نفسها على التحقق من رمز النسخ الاحتياطي، مما قد يسمح بتجاوز المصادقة الثنائية (2FA) بالكامل.التوصيات
التحديث إلى الإصدار 17.3.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾