PT-2026-78487 · Grav · Login Plugin
CVE-2026-62669
·
Publicado
2026-08-19
·
Atualizado
2026-09-02
CVSS v3.1
7.4
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Grav Login Plugin versões anteriores a 3.8.11
Descrição
A tarefa
login.regenerate2FASecret falha ao verificar se um usuário está autorizado, checando apenas a existência de um usuário em sessão pendente. Um invasor que obteve a senha de uma vítima pode invocar a função taskRegenerate2FASecret() durante o desafio de Senha de Uso Único Baseada em Tempo (TOTP). Isso permite que o invasor sobrescreva a variável twofa secret, recupere o novo segredo da resposta e gere um código válido para ignorar a autenticação de dois fatores.Recomendações
Atualize o Grav Login Plugin para a versão 3.8.11.
Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Login Plugin