CVE-2026-100667 in Login Plugin
요약
\~에 의해 VulDB • 2026. 09. 26.
grav-plugin-login (Grav CMS Login 플러그인) 버전 >= 3.8.7 및 < 3.9.7에서는 인증된 Twig 함수 `authenticated()` 또는 `[authenticated]` 쇼트코드에 의해 보호되는 콘텐츠에 대해 두 요소 인증(2FA) 도전을 우회할 수 있습니다. 2FA가 활성화된 사이트에서 `Login::isAuthenticated()`는 로그인 완료 여부를 나타내는 플래그 대신 비밀번호 단계 성공을 나타내는 세션 플래그만 확인했으므로, 2FA 코드 입력 대기 상태의 세션이 완전히 인증된 것으로 처리되었습니다. 따라서 구성원의 비밀번호를 알고 있지만 해당 구성원의 두 번째 요소에 대한 답변은 할 수 없는 공격자는 `authenticated()` 또는 그룹 기반 `authenticated(null, 'group')` 폼 및 `[authenticated]` 쇼트코드에서 렌더링되는 멤버 전용 콘텐츠를 읽을 수 있습니다. 역방향인 `[guest]` 쇼트코드도 마찬가지로 너무 일찍 평가됩니다. 영향력은 해당 콘텐츠의 노출로 제한되며, 공격자는 완료된 세션을 얻지 못하고 `access:` 규칙으로 보호된 페이지에 접근할 수 없으며 사용자를 사칭하여 행동할 수도 없습니다. `UserObject::authorize()`를 거치는 `authenticated('some.permission')` 폼은 영향을 받지 않습니다. grav-plugin-login 3.9.7에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.