CVE-2026-62232

Nome do Software Vulnerável e Versões Afetadas Grav versões anteriores a 2.0.4

Descrição Existe uma falha de bypass de autenticação de dois fatores no plugin de login. A tarefa regenerate2FASecret não verifica a autorização durante a janela de desafio TOTP (Time-based One-Time Password) pendente, verificando apenas se o usuário existe. Um invasor que possua a senha da vítima pode invocar esta tarefa sem um nonce CSRF para substituir o segredo 2FA por um valor de sua escolha. Isso permite que o invasor gere um código TOTP válido e complete o processo de autenticação, reduzindo efetivamente a segurança da conta apenas à proteção por senha.

Recomendações Atualize o Grav para a versão 2.0.4 ou posterior. Como mitigação temporária, restrinja o acesso à tarefa regenerate2FASecret.