CVE-2026-100667 in Login Plugin
要約
〜によって VulDB • 2026年09月26日
grav-plugin-login（Grav CMSのLoginプラグイン）バージョン >= 3.8.7 および < 3.9.7 では、authenticated() Twig関数または[authenticated]ショートコードによって保護されたコンテンツに対して二段階認証チャレンジを回避できます。2FAが有効なサイトでは、Login::isAuthenticated()はパスワードステップの成功を示すセッションフラグのみをチェックし、ログイン完了を示すフラグはチェックしないため、二段階認証コードの入力待ち状態のセッションが完全に認証済みとして扱われました。そのため、メンバーのパスワードを知っているがそのメンバーの第二要素に回答できない攻撃者は、引数なしのauthenticated()やgroup authenticated(null, 'group')フォーム、および[authenticated]によってレンダリングされる会員専用コンテンツを読み取ることができます。逆の[guest]ショートコードも同様に早期に評価されます。影響は当該コンテンツの開示に限られ、攻撃者は完了したセッションを取得できず、access:ルールで保護されたページにはアクセスできず、ユーザーとして振る舞うこともできません。authenticated('some.permission')フォーム（UserObject::authorize()を経由する）は影響を受けません。grav-plugin-login 3.9.7 で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.