GHSA-3gq2-hx4p-69qc

Версии Psono Server CE и EE с 3.1.0 по 7.2.3 не использовали сохранённый вызов WebAuthn после проверки утверждения. Неаутентифицированный удалённый злоумышленник, имевший пароль пользователя и одно перехваченное действительное утверждение WebAuthn, мог повторно использовать это утверждение с отдельными токенами входа, пока сохранённый вызов оставался неизменным, обходя второй фактор WebAuthn. Для атаки требовалось перехватить действительное утверждение; сама атака не раскрывала секреты в открытом виде.