2FA bypass through deleting devices in wagtail-2fa
Impact
Any user with access to the CMS can view and delete other users' 2FA devices by going to the correct path. The user does not require special permissions in order to do so. By deleting the other user's device they can disable the target user's 2FA devices and potentially compromise the account if they figure out their password.
Patches
The problem has been patched in version 1.4.1.
Workarounds
There is no workaround for this issue.
For more information
If you have any questions or comments about this advisory:
- Open an issue in github.com/labd/wagtail-2fa
- Email us at security@labdigital.nl
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | wagtail-2fa | < 1.4.1 | 1.4.1 |
Odnośniki
- https://github.com/labd/wagtail-2fa/commit/ac23550d33b7436e90e3beea904647907eba5b74
- https://github.com/labd/wagtail-2fa/security/advisories/GHSA-9gjv-6qq6-v7qm
- https://nvd.nist.gov/vuln/detail/CVE-2020-5240
- https://github.com/labd/wagtail-2fa
- https://github.com/pypa/advisory-database/tree/main/vulns/wagtail-2fa/PYSEC-2020-219.yaml
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:H/A:N- Słabość (CWE)
CWE-285- Platforma
- Python (PyPI)
- Paczka
wagtail-2fa- Ujawniono
- 13.03.2020
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2020-219 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-9gjv-6qq6-v7qm - CC BY 4.0
Historia podatności: wagtail-2fa
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 11.2019 03.2020
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Średnia 2
Ujawnienia w latach
- 2019: 1
- 2020: 1
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 0
-
2FA bypass through deleting devices in wagtail-2fa ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.