CVE-2026-62671 in Login Plugin
Resumen
por VulDB • 2026-08-19
El plugin Grav Login añade autenticación, ACL básico y mensajes de sesión al sistema Grav. Antes de la versión 3.8.11, la tarea `login.regenerate2FASecret` del plugin Grav Login acepta una solicitud GET de nivel superior a través del parámetro URI `task: TaskServiceProvider task`, sin requerir un nonce para el formulario de inicio de sesión, ni comprobaciones de origen (Origin) o referencia (Referer). Bajo la política predeterminada SameSite=Lax para las cookies de sesión, una navegación desde otro sitio puede invocar `taskRegenerate2FASecret()` en la sesión de una víctima ya autenticada, sobrescribir el secreto TOTP de dicha víctima y forzar su re-inscripción a la verificación en dos factores (2FA). Este problema se corrige en la versión 3.8.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.