CVE-2026-62671 in Login Plugin
요약
\~에 의해 VulDB • 2026. 08. 20.
Grav Login Plugin은 Grav에 로그인 기능, 기본 ACL(접근 제어 목록), 그리고 세션 전체 메시지 기능을 추가합니다. 버전 3.8.11 이전의 Grav Login 플러그인에서 `login.regenerate2FASecret` 작업(Task)은 TaskServiceProvider 작업을 통해 URI 매개변수로 최상위 GET 요청을 받으며, 로그인 폼 nonce(일회용 숫자), Origin 검사 또는 Referer 검사를 요구하지 않습니다. 기본 SameSite=Lax 세션 쿠키 정책 하에서 외부 사이트로의 네비게이션이 로그온된 피해자의 세션 내에서 `taskRegenerate2FASecret()`를 호출하여 피해자의 TOTP(TIME-BASED ONE-TIME PASSWORD) 비밀값을 덮어쓰고 2단계 인증 재등록을 강요할 수 있습니다. 이 문제는 버전 3.8.11에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.