CVE-2026-62669 in Login Plugin
Resumen
por VulDB • 2026-08-20
El plugin Grav Login añade inicio de sesión, ACL básico y mensajes en toda la sesión a Grav. Antes de la versión 3.8.11, la tarea `login.regenerate2FASecret` del plugin Grav Login solo verificaba que el usuario con sesión pendiente existiera, en lugar de requerir `$user->authorized`. Tras enviar la contraseña correcta de una víctima, un atacante puede invocar `taskRegenerate2FASecret()` durante el desafío TOTP pendiente, sobrescribir `twofa_secret`, leer el nuevo secreto desde la respuesta, calcular un código válido y completar la autenticación sin necesidad del segundo factor de la víctima. Este problema se corrige en la versión 3.8.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.