CVE-2019-16766
Publiée le 2019-11-29 · Dernière modification le 2026-06-17
Les sites Wagtail CMS utilisant le package `wagtail-2fa` dans une version antérieure à la 1.3.0 sont vulnérables à un contournement de l'authentification à deux facteurs. Si un attaquant obtient les identifiants de connexion d'un utilisateur, il peut contourner la demande de 2FA en modifiant simplement l'URL dans son navigateur pour obtenir un accès administratif complet. Cette attaque est facile à exécuter via un réseau, bien qu'elle nécessite que l'attaquant possède déjà des identifiants valides avec des privilèges élevés.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
When using wagtail-2fa before 1.3.0, if someone gains access to someone's Wagtail login credentials, they can log into the CMS and bypass the 2FA check by changing the URL. They can then add a new device and gain full access to the CMS. This problem has been patched in version 1.3.0.