CVE-2026-109312

Nome do Software Vulnerável e Versões Afetadas Grav Login plugin versões 2.7.0 até 3.9.8

Descrição Existe uma falha de bypass de autenticação na função processUserProfile(). O problema ocorre porque o sistema verifica a existência do usuário da sessão, mas não confirma se uma sessão de autenticação de dois fatores (2FA) pendente no front-end está totalmente autorizada. Um invasor com a senha da vítima e a capacidade de publicar um formulário de página sem uma regra de acesso pode invocar update user antes de concluir o 2FA para desativar a variável twofa enabled e assumir o controle da conta.

Recomendações Atualize o Grav Login plugin para a versão 3.9.9 ou posterior.