CVE-2026-65603

Nome do Software Vulnerável e Versões Afetadas Grav Login plugin (grav-plugin-login) versões anteriores a 3.8.12

Descrição Uma falha de escalonamento de privilégios existe no manipulador de autoatualização de perfil autenticado processUserProfile() (a tarefa update user). O manipulador não remove campos de privilégios, como groups e access, dos dados do formulário enviados pelo usuário antes de persisti-los. Quando um administrador adiciona groups e/ou access a plugins.login.user registration.fields e o backend de conta padrão regular/DataUser está em uso, um usuário autenticado de baixo privilégio pode enviar dados de formulário de perfil manipulados (ex: access[admin][super]=true) para escalar para super-administrador. Isso permite o acesso ao painel de administração, abuso do agendador resultando em Execução Remota de Código (RCE) e avaliação de Twig.

Recomendações Atualizar para a versão 3.8.12.