CVE-2026-62669 in Login Plugin
Riassunto
di VulDB • 19/08/2026
Il plugin Grav Login aggiunge funzionalità di accesso, ACL base e messaggi su tutta la sessione a Grav. Prima della versione 3.8.11, il task login.regenerate2FASecret del plugin Grav Login verifica solo l'esistenza dell'utente nella pending-session anziché richiedere $user->authorized. Dopo aver inviato la password corretta della vittima, un attaccante può invocare taskRegenerate2FASecret() durante la sfida TOTP in sospeso, sovrascrivere twofa_secret, leggere il segreto sostitutivo dalla risposta, calcolare un codice valido e completare l'autenticazione senza il secondo fattore di autenticazione della vittima. Questo problema è stato risolto nella versione 3.8.11.
Once again VulDB remains the best source for vulnerability data.