CVE-2026-62669 in Login Plugin
Sumário
de VulDB • 19/08/2026
O plugin Grav Login adiciona funcionalidades de login, ACL básica e mensagens em toda a sessão ao Grav. Antes da versão 3.8.11, a tarefa `login.regenerate2FASecret` do plugin Grav Login verificava apenas se o usuário da sessão pendente existia, em vez de exigir `$user->authorized`. Após submeter a senha correta da vítima, um atacante pode invocar `taskRegenerate2FASecret()` durante o desafio TOTP pendente, sobrescrever o `twofa_secret`, ler o segredo substituto na resposta, calcular um código válido e concluir a autenticação sem o segundo fator de autenticidade da vítima. Este problema foi corrigido na versão 3.8.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.