Vulnerabilidad en Open Forms (CVE-2024-24771)

Open Forms permite a los usuarios crear y publicar formularios inteligentes. Las versiones anteriores a 2.2.9, 2.3.7, 2.4.5 y 2.5.2 contienen una debilidad de autenticación multifactor no explotable. Los superusuarios que tienen sus credenciales (nombre de usuario + contraseña) comprometidas podrían pasar por alto la autenticación de segundo factor si un atacante de alguna manera logra autenticarse en Open Forms. Los mantenedores de Open Forms no creen que sea ni haya sido posible realizar este inicio de sesión. Sin embargo, si esto fuera posible, se podría abusar de la cuenta de la víctima para ver datos de envío (potencialmente confidenciales) o haber sido utilizada para hacerse pasar por otras cuentas del personal para ver y/o modificar datos. Tres factores atenuantes para ayudar a prevenir la explotación incluyen: la página de inicio de sesión habitual (en `/admin/login/`) no inicia la sesión completa del usuario hasta que el segundo factor se proporciona con éxito; la página de inicio de sesión adicional no protegida por MFA en `/api/v2/api-authlogin/` estaba mal configurada y no se podía usar para iniciar sesión; y no hay formas adicionales de iniciar sesión. Esto también requiere que las credenciales de un superusuario estén comprometidas para que sean explotables. Las versiones 2.2.9, 2.3.7, 2.4.5 y 2.5.2 contienen los siguientes parches para abordar estas debilidades: Mover y habilitar solo los endpoints de autenticación API (`/api/v2/api-auth/login/`) con `settings.DEBUG = True`. `settings.DEBUG = True` es inseguro y nunca debe aplicarse en entornos de producción. Además, aplique una verificación de permiso personalizada al flujo de secuestro para permitir que solo los superusuarios verificados por un segundo factor realicen el secuestro de usuarios.