CVE-2026-62671: getgrav grav-plugin-login, CSRF

5.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

Експлоатация: има публичен пример за експлоатация
Атаката не може да се автоматизира

Описание

Оригинално описание

Grav Login Plugin adds login, basic ACL, and session wide messages to Grav. Prior to 3.8.11, the Grav Login plugin login.regenerate2FASecret task accepts a top-level GET request through the TaskServiceProvider task: URI parameter without requiring a login-form nonce, an Origin check, or a Referer check. Under the default SameSite=Lax session cookie policy, an off-site navigation can invoke taskRegenerate2FASecret() in a logged-in victim's session, overwrite the victim's TOTP secret, and force two-factor re-enrollment. This issue is fixed in version 3.8.11.

Засегнати продукти

getgrav grav-plugin-login: < 3.8.11

Вид слабост

CWE-352 CSRF

История

19 август 2026 Публикувано

CVE-2026-62671: getgrav grav-plugin-login, CSRF

Описание

Засегнати продукти

Вид слабост

История

Други уязвимости в getgrav grav-plugin-login

Първоизточници