CVE-2026-62669 in Login Plugin
Résumé
par VulDB • 19/08/2026
Le plugin Grav Login ajoute la fonctionnalité de connexion, une ACL basique et des messages à l'échelle de la session à Grav. Avant la version 3.8.11, la tâche `login.regenerate2FASecret` du plugin Grav Login vérifie uniquement que l'utilisateur de la session en attente existe plutôt qu'exiger `$user->authorized`. Après avoir soumis le mot de passe correct d'une victime, un attaquant peut invoquer `taskRegenerate2FASecret()` pendant le défi TOTP en cours, écraser le `twofa_secret`, lire le secret de remplacement dans la réponse, calculer un code valide et compléter l'authentification sans utiliser le second facteur (second factor) de la victime. Ce problème est corrigé dans la version 3.8.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.