Podatności twofactor_gauthenticator

Wtyczka twofactor_gauthenticator dla Roundcube jest podatna na obejście uwierzytelniania dwuskładnikowego poprzez fałszowanie nagłówków adresu klienta. Z powodu braku walidacji nagłówków Client-IP i X-Forwarded-For atakujący, który poznał hasło użytkownika, może podszyć się pod adres IP z białej listy i ominąć drugi składnik.

Wtyczka twofactor_gauthenticator dla Roundcube jest podatna na utrzymanie sesji po nieudanej weryfikacji 2FA. Z powodu braku zniszczenia sesji po stronie serwera atakujący może zignorować przekierowanie wylogowania i utrzymać sesję przy życiu.

Wtyczka twofactor_gauthenticator dla Roundcube jest podatna na brute force kodu drugiego składnika. Z powodu braku ograniczania liczby prób atakujący, który poznał hasło użytkownika, może przesyłać dowolne 6-cyfrowe kody, co prowadzi do obejścia drugiego składnika i nieautoryzowanego dostępu.