PT-2026-78487 · Grav · Login Plugin

CVE-2026-62669

·

Publicado

2026-08-19

·

Atualizado

2026-09-02

CVSS v3.1

7.4

Alta

VetorAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas Grav Login Plugin versões anteriores a 3.8.11
Descrição A tarefa login.regenerate2FASecret falha ao verificar se um usuário está autorizado, checando apenas a existência de um usuário em sessão pendente. Um invasor que obteve a senha de uma vítima pode invocar a função taskRegenerate2FASecret() durante o desafio de Senha de Uso Único Baseada em Tempo (TOTP). Isso permite que o invasor sobrescreva a variável twofa secret, recupere o novo segredo da resposta e gere um código válido para ignorar a autenticação de dois fatores.
Recomendações Atualize o Grav Login Plugin para a versão 3.8.11.

Exploit

Correção

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-62669
GHSA-7MGC-C7PQ-3RR3

Produtos afetados

Login Plugin