CVE-2022-24857

django-mfa3 es una librería que implementa la autenticación multifactor para el framework web django. Lo consigue al modificar la visualización de inicio de sesión normal. Sin embargo, Django presenta una segunda visualización de inicio de sesión para su área de administración. Esta segunda visualización de inicio de sesión no fue modificada, por lo que la autenticación multifactor puede ser omitida. Los usuarios están afectados si han activado tanto django-mfa3 (versiones anteriores a 0.5.0) como django.contrib.admin y no han tomado ninguna otra medida para evitar que los usuarios accedan a la visualización de inicio de sesión del administrador. El problema ha sido corregido en django-mfa3 versión 0.5.0. Es posible mitigar el problema al sobrescribir la ruta de inicio de sesión del administrador, por ejemplo, al añadir la siguiente definición de URL *before* de las rutas del administrador: url("admin/login/", lambda request: redirect(settings.LOGIN_URL)