CVE-2026-72699

Nome do Software Vulnerável e Versões Afetadas Grav Login plugin versões anteriores a 3.9.1

Descrição Existe um problema onde o endpoint de registro permite a enumeração de endereços de e-mail. A função register() em classes/Login.php dispara uma exceção específica, EMAIL NOT AVAILABLE, quando um endereço de e-mail fornecido já está associado a uma conta, enquanto outras tentativas permitem que o processo continue. Devido à ausência de limitação de taxa (rate limiting) no endpoint de registro, um invasor pode identificar sistematicamente endereços de e-mail registrados enviando solicitações individualmente.

Recomendações Atualize o Grav Login plugin para a versão 3.9.1 ou posterior.