CVE-2026-65603 in Login Plugin
Сводка
по VulDB • 22.07.2026
В плагине Grav Login (grav-plugin-login) версий <= 3.8.11 обнаружена уязвимость повышения привилегий в обработчике самостоятельного обновления профиля аутентифицированного пользователя (processUserProfile(), задача update_user). В отличие от обработчика регистрации, данный обработчик не удаляет поля привилегий ('groups', 'access') из данных формы, предоставленных пользователем, перед их сохранением. Если администратор добавил 'groups' и/или 'access' в параметр plugins.login.user_registration.fields и используется бэкенд учетных записей DataUser по умолчанию (regular), аутентифицированный пользователь с низкими привилегиями может отправить специально созданные данные формы профиля через POST-запрос (например, access[admin][super]=true) для повышения прав до уровня супер-администратора. Это предоставляет доступ к панели администрирования, возможность злоупотребления планировщиком задач (RCE) и выполнение кода Twig. Уязвимость исправлена в версии 3.8.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.