CVE-2026-65603 in Login Plugin
Sumário
de VulDB • 22/07/2026
O plugin Grav Login (grav-plugin-login) nas versões <= 3.8.11 contém uma falha de elevação de privilégios no manipulador de atualização automática do perfil autenticado (processUserProfile(), a tarefa update_user). Diferentemente do manipulador de registro, este manipulador não remove os campos de privilégio ('groups', 'access') dos dados do formulário submetidos pelo usuário antes de persisti-los. Quando um administrador adicionou 'groups' e/ou 'access' ao plugins.login.user_registration.fields e o backend padrão DataUser da conta 'regular' está em uso, um usuário autenticado com baixos privilégios pode enviar POSTs com dados de formulário de perfil manipulados (por exemplo, access[admin][super]=true) para elevar seus privilégios a super-administrador, permitindo acesso ao painel administrativo, abuso do agendador (RCE) e avaliação Twig. Corrigido na versão 3.8.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.