CVE-2026-62669 in Login Plugin
الملخص
بحسب VulDB • 19/08/2026
يضيف ملحق Grav Login ميزات تسجيل الدخول، وصلاحيات الوصول الأساسية (ACL)، ورسائل على مستوى الجلسة إلى نظام Grav. قبل الإصدار 3.8.11، كانت مهمة `login.regenerate2FASecret` في ملحق Grav Login تتحقق فقط من وجود مستخدم الجلسة المعلقة بدلاً من اشتراط `$user->authorized`. وبعد تقديم كلمة المرور الصحيحة للضحية، يمكن للمهاجم استدعاء الدالة `taskRegenerate2FASecret()` أثناء تحدي TOTP المعلق، مما يتيح له استبدال قيمة `twofa_secret` بقية جديدة، وقراءة السري الجديد من الاستجابة، وحساب رمز صالح لإتمام عملية المصادقة دون الحاجة إلى العامل الثاني (second factor) الخاص بالضحية. تم إصلاح هذه المشكلة في الإصدار 3.8.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.