# Trzy podatności we wtyczce 2FA do Roundcube pozwalają ominąć drugi składnik, jeśli atakujący zna hasło

CERT Polska opisał trzy podatności we wtyczce twofactor_gauthenticator dla Roundcube, które umożliwiają ominięcie drugiego składnika uwierzytelniania atakującemu znającemu hasło. Poprawka jest w commicie 4640889.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/roundcube-twofactor-gauthenticator-podatnosci/>
- Rodzaj: Streszczenie
- Data publikacji: 27.10.2026
- Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CERT Polska](https://cert.pl/posts/2026/10/CVE-2026-107145/) (27 października 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CERT Polska opublikował 27 października 2026 r. informację o trzech podatnościach (od CVE-2026-107145 do CVE-2026-107147) we wtyczce `twofactor_gauthenticator` dla Roundcube, której producentem jest alexandregz. Podatne są **wszystkie wersje przed commitem 4640889**. Podatności zgłosił CERT Polska Marek Figielski z zespołu Vanilla.pl, a CERT Polska uczestniczył w koordynacji ich ujawnienia.

Pierwsza podatność (CVE-2026-107145) to brak ograniczenia liczby prób: atakujący może wielokrotnie przesyłać dowolne sześciocyfrowe kody, co może prowadzić do ominięcia drugiego składnika. Druga (CVE-2026-107146) polega na tym, że wtyczka utrzymuje sesję po nieudanej weryfikacji 2FA. Serwer nie kończy sesji, więc atakujący może zignorować przekierowanie wylogowujące i dalej zgadywać kod. Trzecia (CVE-2026-107147) wynika z braku walidacji nagłówków `Client-IP` i `X-Forwarded-For`: atakujący może podszyć się pod adres IP z białej listy i w ten sposób ominąć drugi składnik.

We wszystkich trzech przypadkach CERT Polska zastrzega, że atakujący musi wcześniej pozyskać hasło użytkownika. Strix ocenia CVE-2026-107146 jako podatność o średniej wadze, 6,3 w skali CVSS. Jeśli Twoja organizacja korzysta z Roundcube, sprawdź, czy ta wtyczka jest zainstalowana i czy zawiera commit 4640889. OffSeq Threat Radar zaleca aktualizację wtyczki do 4640889.

## Źródła

- [CERT Polska: Podatności we wtyczce twofactor_gauthenticator dla Roundcube](https://cert.pl/posts/2026/10/CVE-2026-107145/)
- [OffSeq Threat Radar: CVE-2026-107147: twofactor_gauthenticator · Authentication Bypass… | Threat Radar](https://radar.offseq.com/threat/cve-2026-107147-cwe-290-authentication-bypass-by-spoofing-in-alexandregz-twofactorgauthenticator-3623cafdc8cb258b)
- [Strix: CVE-2026-107146: twofactor_gauthenticator Session Expiration Flaw](https://www.strix.ai/cve/CVE-2026-107146)

## Pojęcia w tym tekście

- [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 27 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.