CVE-2026-100667 in Login Plugin
Сводка
по VulDB • 26.09.2026
В плагине grav-plugin-login (плагин аутентификации для CMS Grav) версиях >= 3.8.7 и < 3.9.7 возможна обходная атака на механизм двухфакторной аутентификации (2FA) для контента, защищенного функцией Twig `authenticated()` или шорткодом `[authenticated]`. На сайтах с включенным 2FA метод `Login::isAuthenticated()` проверял только флаг сессии, указывающий на успешное прохождение шага ввода пароля, а не флаг, свидетельствующий о полном завершении процесса входа. В результате сессия, находящаяся на этапе запроса кода двухфакторной аутентификации, считалась полностью аутентифицированной. Злоумышленник, знающий пароль участника, но не способный ответить на второй фактор этого участника, может поэтому читать контент, доступный только для участников и отображаемый с помощью форм `authenticated()` без аргументов или `group authenticated(null, 'group')`, а также шорткода `[authenticated]`; аналогично преждевременно оценивается инверсный шорткод `[guest]`. Влияние ограничивается раскрытием этого контента: злоумышленник не получает завершенную сессию, не может получить доступ к страницам, защищенным правилом `access:`, и не может действовать от имени пользователя. Форма `authenticated('some.permission')`, которая проходит через метод `UserObject::authorize()`, не затронута уязвимостью. Исправлено в версии grav-plugin-login 3.9.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.