CVE-2026-100667 in Login Plugin
Zusammenfassung
von VulDB • 26.09.2026
Das Plugin „grav-plugin-login“ (das Login-Plugin für das Grav CMS) in den Versionen >= 3.8.7 und < 3.9.7 ermöglicht die Umgehung der Zwei-Faktor-Authentifizierungs-Herausforderung für Inhalte, die durch die Twig-Funktion `authenticated()` oder den Shortcode `[authenticated]` geschützt sind. Bei Websites mit aktivierter 2FA hat `Login::isAuthenticated()` nur das Sitzungsflag geprüft, das anzeigt, dass der Passwort-Schritt erfolgreich war, nicht jedoch das Flag, das signalisiert, dass die Anmeldung abgeschlossen ist; daher wurde eine Sitzung, die sich noch am Eingabefeld für den 2FA-Code befand, als vollständig authentifiziert behandelt. Ein Angreifer, der das Kennwort eines Mitglieds kennt, aber dessen zweiten Faktor nicht beantworten kann, kann somit nur-Mitglieder-Inhalte lesen, die von `authenticated()` ohne Argumente oder `group authenticated(null, 'Gruppe')` sowie durch `[authenticated]` gerendert werden; auch der inverse Shortcode `[guest]` wird zu früh ausgewertet. Die Auswirkung beschränkt sich auf die Offenlegung dieser Inhalte: Der Angreifer erhält keine abgeschlossene Sitzung, kann nicht auf Seiten zugreifen, die durch eine `access:`-Regel geschützt sind, und kann sich nicht als Benutzer ausgeben. Das Formular `authenticated('some.permission')`, das über `UserObject::authorize()` läuft, ist davon nicht betroffen. Behoben in grav-plugin-login 3.9.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.