CVE-2026-63439

Nome do Software Vulnerável e Versões Afetadas 2FAuth versões anteriores a 8.0.0

Descrição Quando o AUTHENTICATION GUARD está configurado como reverse-proxy-guard, a função ReverseProxyGuard::user() lê o cabeçalho de identidade padrão REMOTE USER ou um cabeçalho personalizado definido pela configuração AUTH PROXY HEADER FOR USER sem confirmar que a requisição originou-se de um proxy confiável. Um cliente remoto que consiga acessar a aplicação diretamente pode forjar esses cabeçalhos de identidade para se autenticar como qualquer usuário existente, incluindo um administrador. Isso permite o acesso não autorizado a segredos de 2FA armazenados e a funções de gerenciamento de conta ou aplicação.

Recomendações Atualizar para a versão 8.0.0.