PT-2026-110738 · Grav · Login Oauth Plugin

Alpetgexha

·

CVE-2026-109321

·

Publicado

2026-10-12

·

Atualizado

2026-10-12

CVSS v4.0

9.3

Crítica

VetorAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Grav Login OAuth plugin (grav-plugin-login-oauth) versões anteriores a 1.4.3
Descrição O plugin provisiona contas OAuth como usuários comuns usando um nome de usuário determinístico <provider>.<id> e um hash MD5 não salgado do identificador do provedor como senha. Como o login por senha permanece habilitado, invasores remotos não autenticados que obtenham ou adivinhem um identificador de provedor podem reproduzir essas credenciais para fazer login e potencialmente obter controle administrativo de contas privilegiadas.
Recomendações Atualize o Grav Login OAuth plugin (grav-plugin-login-oauth) para a versão 1.4.3 ou posterior.

Exploit

Correção

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-1391

Identificadores relacionados

CVE-2026-109321
GHSA-MJ8V-HVF6-73GM

Produtos afetados

Login Oauth Plugin