CVE-2026-100667 in Login Plugin
Sumário
de VulDB • 26/09/2026
O plugin grav-plugin-login (plugin de login do Grav CMS) nas versões >= 3.8.7 e < 3.9.7 permite que o desafio da autenticação em dois fatores seja contornado para conteúdo restrito pela função Twig authenticated() ou pelo shortcode [authenticated]. Em sites com a autenticação em dois fatores (2FA) habilitada, Login::isAuthenticated() verificava apenas o flag de sessão indicando que a etapa de senha foi bem-sucedida, e não o flag indicando que o login estava concluído; portanto, uma sessão parada no prompt do código 2FA era tratada como totalmente autenticada. Um atacante que conhece a senha de um membro, mas não consegue responder ao segundo fator desse membro, pode assim ler conteúdo exclusivo para membros renderizado pelos formulários authenticated() sem argumentos ou group authenticated(null, 'group'), bem como pelo shortcode [authenticated]; o shortcode inverso [guest] também é avaliado prematuramente. O impacto limita-se à divulgação desse conteúdo: o atacante não obtém uma sessão concluída, não pode acessar páginas protegidas por uma regra access: e não pode agir em nome do usuário. O formulário authenticated('some.permission'), que passa por UserObject::authorize(), não é afetado. Corrigido no grav-plugin-login 3.9.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.