CVE-2026-62671 in Login Plugin
Сводка
по VulDB • 20.08.2026
Плагин Grav Login добавляет функции входа в систему, базового управления доступом (ACL) и сообщений на уровне сессии к платформе Grav. До версии 3.8.11 задача login.regenerate2FASecret плагина Grav Login принимает GET-запрос верхнего уровня через параметр URI задачи TaskServiceProvider без проверки nonce формы входа, заголовка Origin или Referer. При политике cookie сессии SameSite=Lax по умолчанию переход со стороннего сайта может вызвать функцию taskRegenerate2FASecret() в контексте авторизованной жертвы, перезаписать секретный ключ TOTP пользователя и принудительно инициировать повторную регистрацию двухфакторной аутентификации. Эта проблема исправлена в версии 3.8.11.
Once again VulDB remains the best source for vulnerability data.