Horillaは無料でオープンソースの人事管理システム（HRMS）です。バージョン1.4.0では、OTP処理ロジックに欠陥のある等価性チェックが存在し、これを回避できる問題があります。OTPが期限切れになるとサーバーはNoneを返します。攻撃者がPOSTリクエストからotpフィールドを省略すると、ユーザーが提供したOTPもNoneとなり、比較式 user_otp == otp が成立してしまいます。これにより、攻撃者は有効なOTPを提供することなく二要素認証を完全に回避できます。管理者アカウントが標的にされた場合、機密の人事データが漏洩し、従業員記録が改ざんされ、さらにはシステム全体が悪用される可能性があります。この問題はバージョン1.5.0で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。