Robinmoschini

**Nome do Software Vulnerável e Versões Afetadas** Froxlor versões anteriores a 2.3.12 **Description** O software armazena apenas um ID de usuário numérico em tokens 2FA lembrados em `panel 2fa tokens` sem registrar o namespace da conta. Durante o login, a busca pelo token lembrado não é restringida ao tipo de conta de cliente ou administrador. Como os IDs de clientes e administradores são alocados em namespaces separados, um token emitido a um cliente com um ID específico pode coincidir com um administrador com o mesmo ID. Um invasor que controle uma conta de cliente com um ID colidente, possua um cookie 2FA lembrado válido e conheça a senha do administrador alvo pode ignorar o segundo fator de senha única baseada em tempo (TOTP) para obter uma sessão de administrador autenticada. Este problema é um bypass do segundo fator e não anula a autenticação por senha. **Recommendations** Atualize para a versão 2.3.12.