ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تطبيق 2FAuth هو تطبيق ويب لإدارة حسابات المصادقة الثنائية (2FA) وتوليد رموز الأمان الخاصة بها. قبل الإصدار 8.0.0، عندما يقبل AUTHENTICATION_GUARD=reverse-proxy-guard ترويسات المصادقة من عميل لم يمر عبر وكيل موثوق، فإن RemoteUserProvider::retrieveById() ينشئ حسابًا لمستخدم REMOTE_USER غير معروف، وپرقي الحساب المُنشأ لأول مرة إلى مدير، ويقوم بمزامنة بريد الحساب الإلكتروني من ترويسة البريد المُكوّنة. ونتيجة لذلك، يمكن لعميل عن بُعد دون مصادقة إنشاء مدير على مثيل جديد أو انتحال صفقة وإعادة توجيه البريد الإلكتروني لحساب معروف، مما يكشف أسرار المصادقة الثنائية (2FA) والوظائف الإدارية. تم إصلاح هذه المشكلة في الإصدار 8.0.0.
المعالجة
المراجع
- مرجعhttps://github.com/Bubka/2FAuth/commit/43873cbfba445926c7008b4291eeee67752af9e8
- مرجعhttps://github.com/Bubka/2FAuth/commit/8a4c395cac97f8b70b4a822639a6ad8a816f927c
- مرجعhttps://github.com/Bubka/2FAuth/commit/d9e58ac4a63fbd8a073e423567881c81a87915de
- مرجعhttps://github.com/Bubka/2FAuth/releases/tag/v8.0.0
- مرجعhttps://github.com/Bubka/2FAuth/security/advisories/GHSA-r9xx-45m8-mw24