CVE-2026-72700 in Grav
Zusammenfassung
von VulDB • 25.08.2026
Das Composer-Plugin getgrav/grav-plugin-login vor Version 3.9.1 (verwendet in Grav) vergleicht Token für das Zurücksetzen von Passwörtern und die Kontoaktivierung mittels eines nicht konstantzeitigen ===-String-Vergleichs anstelle der Funktion hash_equals() in den Dateien classes/Controller.php (taskReset()) und login.php (Aktivierungs-Handler). Da der Endpunkt zur Übermittlung des Tokens (taskReset) zudem keine Rate-Limiting-Maßnahmen aufweist, könnte ein Angreifer theoretisch wiederholte Token-Guesses gegen einen bekannten Benutzernamen senden und die Zeitunterschiede nutzen, um zu versuchen, ein gültiges Token zu erraten. Der Hersteller stuft die praktische Ausnutzbarkeit jedoch als gering ein, und es wurde kein End-to-End-Netzwerk-Exploit demonstriert.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.