CVE-2026-62236

إصدارات grav-plugin-login الأقدم من 3.8.11

توجد مشكلة تتعلق بتزوير الطلبات عبر المواقع (CSRF) في مهمة الواجهة الأمامية login.regenerate2FASecret. يقوم النظام بإعادة إنشاء سر جديد لكلمة المرور لمرة واحدة القائمة على الوقت (TOTP) وحفظه لمستخدم الجلسة المصادق عليه دون تنفيذ رقم عشوائي مضاد لـ CSRF أو فحوصات Origin/Referer. ونظرًا لأن نواة Grav ترسل المهمة عبر معلمة URI task: ويستخدم ملف تعريف الارتباط الافتراضي للجلسة SameSite=Lax، يمكن للمهاجم خداع المستخدم الذي قام بتسجيل الدخول لزيارة صفحة ضارة خارج الموقع. يؤدي هذا الإجراء إلى تشغيل عملية تنقل GET من المستوى الأعلى تعمل على تغيير سر TOTP الخاص بالمستخدم، مما يتسبب في عدم تطابق أداة المصادقة المسجلة مع الخادم ويجبر المستخدم على إعادة التسجيل في المصادقة الثنائية (2FA). لا تؤثر هذه المشكلة على المواقع التي تم تكوينها باستخدام session.samesite: Strict.

قم بتحديث grav-plugin-login إلى الإصدار 3.8.11 أو أحدث.

قم بتكوين session.samesite على Strict لمنع استغلال هذه المشكلة.