Wtyczka twofactorgauthenticator, służąca do obsługi 2FA w popularnym kliencie poczty Roundcube, zawierała trzy krytyczne błędy bezpieczeństwa. Pierwsza z podatności pozwalała na przeprowadzenie ataku brute-force na 6-cyfrowe kody uwierzytelniania ze względu na brak limitu prób. Druga luka dotyczyła niewłaściwego zarządzania sesją, co umożliwiało atakującemu utrzymanie aktywnej sesji nawet po nieudanej weryfikacji drugiego składnika.
Trzeci błąd umożliwiał całkowite ominięcie 2FA poprzez manipulację nagłówkami Client-IP oraz X-Forwarded-For. Atakujący, znający hasło użytkownika, mógł podszyć się pod adres IP znajdujący się na białej liście, co pozwalało na obejście dodatkowej weryfikacji. Wszystkie te problemy zostały już wyeliminowane w konkretnej poprawce kodu.
