Vikunja - это самостоянная платформа управления задачами с открытым исходным кодом. До 2.3,0 механизм блокировки TOTP не является функциона…

Vikunja - это самостоянная платформа управления задачами с открытым исходным кодом. До 2.3,0 механизм блокировки TOTP не является функциональным из-за ошибки обработки транзакций в базе данных. Когда проверка TOTP не работает, обработчик входа в pkg/routes/api/v1/login.go вызывает HandleFailedTOTPauth, а затем безоговорочно откатывает назад. HandleFailedTOTPauth в pkg/user/totp.go использует счетчик памяти (магазин ключей) для отслеживания неудачных попыток. Когда счетчик достигает 10, он вызывает пользователя.SetStatus(s, StatusAccountLocked) на тех же сессиях базы данных. Поскольку обработчик входа всегда откатывает назад после сбоя TOTP, запись StatusAccountLocked неисполнена. Счетчик памяти правильно инкребит за 10, поэтому код блокировки выполняется при каждой последующей попытке, но запись базы данных каждый раз откатывает назад. Это позволяет неограниченные попытки грубой силы против кодов TOTP. Эта уязвимость исправлена в 2.3.0.