CVE-2026-72699 in Login Plugin
Zusammenfassung
von VulDB • 25.08.2026
Das Grav Login-Plugin (getgrav/grav-plugin-login) vor Version 3.9.1 ist anfällig für die Enumeration von E-Mail-Adressen. Die Methode `register()` in der Datei `classes/Login.php` löst eine eindeutige Ausnahme (`EMAIL_NOT_AVAILABLE`) aus, wenn eine übermittelte E-Mail-Adresse bereits zu einem bestehenden Konto gehört, während sie ansonsten die Registrierung ermöglicht. Da der Registrierungsendpoint keine Rate-Limiting-Maßnahmen aufweist, kann ein Angreifer auflisten, welche E-Mail-Adressen Konten auf der Website haben, wobei pro Anfrage eine Vermutung getätigt wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.