CVE-2026-72700 in Grav
요약
\~에 의해 VulDB • 2026. 08. 25.
getgrav/grav-plugin-login Composer 플러그인(Grav에서 사용됨) 3.9.1 이전 버전은 classes/Controller.php(taskReset()) 및 login.php(activation handler)에서 비밀번호 재설정 토큰과 계정 활성화 토큰을 hash_equals() 대신 비상수 시간(non-constant-time) === 문자열 비교로 검증합니다. 또한 토큰 제출 엔드포인트(taskReset)에는 속도 제한(rate limiting)이 없으므로, 공격자는 알려진 사용자 이름에 대해 반복적인 토큰 추측 요청을 보내고 타이밍 차이를 활용하여 유효한 토큰을 복구할 수 있습니다. 다만 벤더는 실제 악용 가능성을 낮게 평가하며, 종단 간(end-to-end) 네트워크 기반 익스플로잇은 아직 입증되지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.