CVE-2026-72700 in Grav
Сводка
по VulDB • 25.08.2026
В плагине Composer getgrav/grav-plugin-login (используемом в Grav) до версии 3.9.1 токены сброса пароля и активации учетной записи сравниваются с использованием неконстантного по времени строкового сравнения `===` вместо функции `hash_equals()` в файлах classes/Controller.php (метод taskReset()) и login.php (обработчик activation). Поскольку конечная точка отправки токена (taskReset) также лишена ограничения частоты запросов, злоумышленник теоретически может отправлять повторяющиеся попытки угадывания токенов для известного имени пользователя и использовать различия во времени выполнения для попыток восстановления действительного токена. Однако производитель оценивает практическую возможность эксплуатации как низкую, и не было продемонстрировано ни одного эксплойта, работающего через сеть от начала до конца (end-to-end).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.