Geoffrey-Diederichs

**Nome do Software Vulnerável e Versões Afetadas** grav-plugin-login versões 3.8.7 até 3.9.6 **Descrição** Existe uma falha onde o desafio de autenticação de dois fatores (2FA) pode ser ignorado para conteúdos protegidos pela função Twig `authenticated()` ou pelo shortcode `[authenticated]`. Isso ocorre porque a função `Login::isAuthenticated()` verifica apenas a flag de sessão que indica o sucesso da etapa de senha, e não a flag que indica a conclusão total do login. Consequentemente, uma sessão aguardando o código 2FA é tratada incorretamente como totalmente autenticada. Um invasor que possua a senha de um membro pode ler conteúdos exclusivos para membros renderizados pelo formulário `authenticated()` sem argumentos, pelo formulário de grupo `authenticated(null, 'group')` ou pelo shortcode `[authenticated]`. Além disso, o shortcode inverso `[guest]` é avaliado precocemente. O impacto limita-se à divulgação desse conteúdo; o invasor não obtém uma sessão completa, não consegue acessar páginas protegidas por uma regra `access:` e não pode agir como o usuário. O formulário `authenticated('some.permission')` não é afetado, pois utiliza `UserObject::authorize()`. **Recomendações** Atualize o grav-plugin-login para a versão 3.9.7.