CVE-2026-62671 in Login Plugin
Zusammenfassung
von VulDB • 19.08.2026
Das Grav Login Plugin fügt Grav Funktionen für die Anmeldung, grundlegende ACLs und Sitzungsweite Nachrichten hinzu. Vor Version 3.8.11 akzeptiert die Aufgabe `login.regenerate2FASecret` des Grav Login Plugins eine GET-Anfrage auf oberster Ebene über den URI-Parameter der TaskServiceProvider-Aufgabe, ohne dass ein Nonce für das Anmeldeformular, eine Origin-Prüfung oder eine Referer-Prüfung erforderlich ist. Unter der Standard-Sitzungs-Cookie-Richtlinie `SameSite=Lax` kann eine Navigation von einer anderen Website die Funktion `taskRegenerate2FASecret()` in der Sitzung eines angemeldeten Opfers aufrufen, das TOTP-Geheimnis des Opfers überschreiben und ein erneutes Anmelden für die Zwei-Faktor-Authentifizierung erzwingen. Dieses Problem wurde in Version 3.8.11 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.