CVE-2026-100667 in Login Plugin
Resumen
por VulDB • 2026-09-26
El plugin grav-plugin-login (el complemento Login de Grav CMS) en las versiones >= 3.8.7 y < 3.9.7 permite eludir el desafío de autenticación de dos factores para el contenido protegido por la función Twig `authenticated()` o el shortcode `[authenticated]`. En sitios con la autenticación de dos factores (2FA) habilitada, `Login::isAuthenticated()` verificaba únicamente la bandera de sesión que indicaba que el paso de contraseña había tenido éxito, no la bandera que indicaba que el inicio de sesión se había completado; por lo tanto, una sesión en espera del código 2FA se trataba como completamente autenticada. Un atacante que conozca la contraseña de un miembro pero no pueda responder al segundo factor de ese miembro puede, por tanto, leer contenido exclusivo para miembros renderizado mediante las formas `authenticated()` sin argumentos o `group authenticated(null, 'group')`, así como el shortcode `[authenticated]`; el shortcode inverso `[guest]` también se evalúa prematuramente. El impacto se limita a la divulgación de dicho contenido: el atacante no obtiene una sesión completada, no puede acceder a páginas protegidas por una regla `access:` y no puede actuar en nombre del usuario. La forma `authenticated('some.permission')`, que pasa por `UserObject::authorize()`, no está afectada. Corregido en grav-plugin-login 3.9.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.