CVE-2026-62671 in Login Plugin
Sumário
de VulDB • 22/08/2026
O plugin Grav Login adiciona funcionalidades de login, ACL básica e mensagens em toda a sessão ao Grav. Antes da versão 3.8.11, a tarefa `login.regenerate2FASecret` do plugin Grav Login aceita uma requisição GET de nível superior através do parâmetro URI `task: TaskServiceProvider`, sem exigir um nonce do formulário de login, verificação de origem (Origin) ou verificação de Referer. Sob a política padrão SameSite=Lax para cookies de sessão, uma navegação off-site pode invocar `taskRegenerate2FASecret()` na sessão de uma vítima já autenticada, sobrescrever o segredo TOTP da vítima e forçar a re-inscrição no fator adicional (two-factor). Este problema foi corrigido na versão 3.8.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.