eduMFA: Unauthenticated Failcounter Increment on Resolver Tokens via /validate/check
Impact
If the resolver parameter is passed, but the user does not exist, all failcounters of tokens in that resolver will be increased.
Patches
This, along with other issues, was fixed in eduMFA v2.9.1.
Workarounds
Limiting access to /validate/check to client applications (i.e. Shibboleth/FreeRADIUS) using an authorization policy with api_key_required or using e.g. the reverse proxy.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | edumfa | < 2.9.1 | 2.9.1 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H- Debilidad (CWE)
CWE-20- Plataforma
- Python (PyPI)
- Paquete
edumfa- Publicada
- 18.05.2026
- Actualizado
- 11.10.2026 12:19
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-74r7-3mjm-jc5v - CC BY 4.0
Historial de vulnerabilidades: edumfa
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 4
- Primera → última
- 07.2024 05.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 2
- Media 2
Divulgaciones por año
- 2024: 1
- 2025: 0
- 2026: 3
-
eduMFA: Unauthenticated Failcounter Increment on Resolver Tokens via /validate/check esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.