CVE-2026-72700 in Grav
要約
〜によって VulDB • 2026年08月25日
getgrav/grav-plugin-login Composerプラグイン（Gravによって使用される）の3.9.1以前のバージョンでは、パスワードリセットトークンとアカウント有効化トークンの比較に、hash_equals()ではなく非一定時間の===文字列比較がclasses/Controller.php (taskReset())およびlogin.php (activation handler)で用いられています。さらに、トークン送信エンドポイント（taskReset）にはレート制限も欠如しているため、攻撃者は理論的に既知のユーザー名に対して繰り返しトークンの推測を送信し、タイミングの違いを利用して有効なトークンを回復しようとする可能性があります。ただし、ベンダーは実用的なエクスプロイト可能性を低く評価しており、エンドツーエンドのネットワーク経由のエクスプロイトは未だ証明されていません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.