Zaloguj się
Deutsch English Español Polski
Średnia

Craft CMS Allows TOTP Token To Stay Valid After Use

  • Ujawniono: 25.07.2024
  • Aktualizacja: 11.10.2026 10:22

Craft CMS 5 allows reuse of TOTP tokens multiple times within the validity period.

Impact

An attacker is able to re-submit a valid TOTP token to establish an authenticated session. This requires that the attacker has knowledge of the victim's credentials.

A TOTP token can be used multiple times to establish an authenticated session. RFC 6238 insists that an OTP must not be used more than once.

The verifier MUST NOT accept the second attempt of the OTP after the successful validation has been issued for the first OTP, which ensures one-time only use of an OTP.

The OWASP Application Security Verification Standard v4.0.3 (ASVS) reiterates this property with requirement 2.8.4.

Verify that time-based OTP can be used only once within the validity period.

It should also be noted that the validity period of an TOTP token is 2 minutes. This makes a successful brute force attack more likely, since the four tokens are valid at the same time.

Patches

This has been patched in Craft 5.2.3.

References:

https://github.com/sbaresearch/advisories/tree/public/2024/SBA-ADV 2024061701_CraftCMS_TOTP_Valid_After_Use

https://github.com/craftcms/cms/releases/tag/5.2.3

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer craftcms/cms >= 5.0.0-beta.1, < 5.2.3 5.2.3

Odnośniki

Ocena CVSS 4.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-287
Platforma
Composer
Paczka
craftcms/cms
Ujawniono
25.07.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wmx7-pw49-88jx - CC BY 4.0

Historia podatności: craftcms/cms

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (127) w archiwum
Wszystkich wpisów
127
Pierwsza → ostatnia
07.2021 08.2026
Bez poprawki
6
Wykorzystywana w atakach
4

Rozkład istotności

  • Krytyczna 9
  • Wysoka 41
  • Średnia 65
  • Niska 12

Ujawnienia w latach

Istotność:
  1. Craft CMS Allows TOTP Token To Stay Valid After Use ten wpis
    Średnia · 4.8 CVE-2024-41800 >= 5.0.0-beta.1, < 5.2.3 5.2.3
  2. Craft CMS: Passkey login accepts replayed WebAuthn assertions
    Krytyczna CVE-2026-72780 >= 5.0.0-RC1, < 5.10.5 5.10.5
  3. Craft CMS: Arbitrary user password reset leading to administrator account takeover
    Wysoka CVE-2026-72786 >= 5.0.0-RC1, < 5.10.8 5.10.8
  4. Craft CMS: Authenticated RCE through Twig sandbox escape
    Wysoka CVE-2026-72781 >= 5.0.0-RC1, < 5.10.7, >= 4.0.0-RC1, < 4.18.3 5.10.7, 4.18.3
  5. Craft CMS: Authenticated RCE via `condition.config` JSON cleanse bypass
    Wysoka CVE-2026-72778 >= 5.0.0-RC1, < 5.10.6, >= 4.0.0-RC1, < 4.18.2 5.10.6, 4.18.2
  6. Craft CMS: RCE via missing cleanseConfig in FieldsController::actionRenderCardPreview
    Wysoka CVE-2026-56382 >= 5.5.0, < 5.9.14 5.9.14
  7. Craft CMS: Potential authenticated Remote Code Execution via referrer redirect
    Wysoka CVE-2026-55794 >= 5.9.0, < 5.10.0 5.10.0
  8. Craft CMS: DOM XSS via GitHub issue title in CraftSupport widget
    Wysoka CVE-2026-55790 >= 5.0.0-RC1, < 5.9.23, >= 4.0.0-RC1, < 4.17.16 5.9.23, 4.17.16
  9. Craft CMS Vulnerable to Unauthorized Deletion of Destination Folders During Forced Moves
    Wysoka CVE-2026-50282 >= 5.0.0-RC1, < 5.9.21, >= 4.0.0-RC1, < 4.17.14 5.9.21, 4.17.14
  10. Craft CMS's mass assignment via id in newAttributes during bulk duplicate overwrites existing elements
    Wysoka CVE-2026-50281 >= 5.7.0, < 5.9.21 5.9.21
  11. Craft CMS: Missing peer-permission check in `AssetsController::actionDeleteFolder` allows deletion of other users' assets
    Wysoka CVE-2026-50284 >= 5.0.0-RC1, < 5.9.22, >= 4.0.0-RC1, < 4.17.15 5.9.22, 4.17.15
  12. Craft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gap
    Wysoka CVE-2026-50279 >= 5.0.0-RC1, < 5.9.21 5.9.21
  13. Craft CMS: Blind SSRF and Arbitrary JavaScript Injection via Host Header Poisoning in actionResourceJs
    Krytyczna CVE-2026-55791 >= 5.0.0-RC1, < 5.10, >= 4.0.0-RC1, < 4.18 5.10, 4.18
  14. Craft CMS's Missing Volume Permission Check in AssetsController::actionShowInFolder Allows Information Disclosure
    Wysoka CVE-2026-44012 >= 5.0.0-RC1, < 5.9.18 5.9.18
  15. Craft CMS has Potential Authenticated Remote Code Execution via Malicious Attached Behavior
    Wysoka CVE-2026-44011 >= 4.0.0, < 4.17.12, >= 5.0.0, < 5.9.18 4.17.12, 5.9.18
  16. Craft CMS's Missing Authorization in GraphQL Address Resolver Allows Cross-Scope PII Disclosure
    Wysoka CVE-2026-44010 >= 5.0.0, < 5.9.18, >= 4.0.0, < 4.17.12 5.9.18, 4.17.12
  17. Craft CMS is Vulnerable to Authenticated Remote Code Execution via Malicious Attached Behavior
    Wysoka CVE-2026-33157 >= 5.6.0, < 5.9.13 5.9.13
  18. Craft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()
    Wysoka CVE-2026-32267 >= 4.0.0-RC1, < 4.17.6, >= 5.0.0-RC1, < 5.9.12 4.17.6, 5.9.12
  19. Craft CMS vulnerable to behavior injection RCE ElementIndexesController and FieldsController
    Wysoka CVE-2026-32264 >= 4.0.0-RC1, < 4.17.5, >= 5.0.0-RC1, < 5.9.11 4.17.5, 5.9.11
  20. Craft CMS vulnerable to behavior injection RCE via EntryTypesController
    Wysoka CVE-2026-32263 >= 5.6.0, < 5.9.11 5.9.11
  21. CraftCMS has an RCE vulnerability via relational conditionals in the control panel
    Wysoka CVE-2026-31857 >= 5.0.0-RC1, < 5.9.9, >= 4.0.0-beta.1, < 4.17.4 5.9.9, 4.17.4
Pokaż więcej (20) Widać 21 z 51

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.