- Son 7 gün
- CWE-307
CVE-2026-107145
Roundcube twofactor_gauthenticator eklentisinde 2FA kodu denemelerine hız sınırı yok
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- CERT-PL
Yönetici özeti
Bu açık, ikinci doğrulama adımının korumasını zayıflatarak parolası ele geçirilen hesapların yetkisiz kişilerce ele geçirilmesine yol açabilir. Etkisi orta düzeydedir ancak e-posta sistemlerinde hesap kaybı ve veri sızıntısı riski taşıdığı için kısa sürede güncelleme yapılması önerilir.
ÖzetTürkçe
Roundcube için geliştirilen twofactor_gauthenticator eklentisinde, ikinci faktör (2FA) kodunun kontrol edildiği mekanizmada deneme sayısına sınır konmamıştır. Bu nedenle kullanıcı parolasını ele geçiren bir saldırgan, 6 haneli kodları sınırsız sayıda deneyerek ikinci faktörü aşabilir. Etkilenen ürün alexandregz tarafından geliştirilen Twofactor Gauthenticator eklentisidir.
Saldırgan ne yapabilir?
Saldırgan parolayı bildiği bbir hesaba, ikinci doğrulama adımını aşarak yetkisiz erişim sağlayabilir.
Kaynaktaki açıklama (İngilizce)
The twofactor_gauthenticator plugin for Roundcube is vulnerable to brute-forcing of the second-factor code. Due to the lack of rate limiting, an attacker who obtains user's password can submit arbitrary 6-digit codes, resulting in second-factor bypass and unauthorized access to the system.
This issue was fixed in commit 4640889.
Ne yapmalı?
- Eklentiyi, açığı düzelten 4640889 numaralı commit'i içeren sürüme güncelleyin. Genel öneri
- Güncelleme öncesinde, ikinci faktör etkinleştirilmiş hesaplarda şüpheli oturum açma denemelerini inceleyin ve gerekirse kullanıcıların parolalarını yenileyin. Genel öneri
Ek önlemler
- Yetkilendirme denemeleri için hız sınırlama veya geçici hesap kilitleme mekanizması kullanın. Genel öneri
- Başarısız 2FA doğrulama denemelerini kaydedin ve olağandışı artışları izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| alexandregz Twofactor Gauthenticator | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.