CVE-2026-62671
ŚrednieCVSS 5.4Streszczenie
Wtyczka Grav Login przed wersją 3.8.11 akceptuje zadanie login.regenerate2FASecret przez parametr URI task w żądaniu GET bez wymaganego nonce, kontroli Origin lub Referer. Przy domyślnej polityce SameSite=Lax, nawigacja z innej strony może wywołać taskRegenerate2FASecret() w sesji zalogowanego użytkownika, nadpisać jego sekret TOTP i wymusić ponowną rejestrację 2FA.
Ocena ryzyka
Atakujący może przejąć kontrolę nad uwierzytelnianiem dwuskładnikowym ofiary, co może prowadzić do nieautoryzowanego dostępu do konta i naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj wtyczkę Grav Login do wersji 3.8.11 lub nowszej oraz rozważ dodanie dodatkowych mechanizmów ochrony CSRF.
Oryginalny opis (angielski, źródło NVD)
Grav Login Plugin adds login, basic ACL, and session wide messages to Grav. Prior to 3.8.11, the Grav Login plugin login.regenerate2FASecret task accepts a top-level GET request through the TaskServiceProvider task: URI parameter without requiring a login-form nonce, an Origin check, or a Referer check. Under the default SameSite=Lax session cookie policy, an off-site navigation can invoke taskRegenerate2FASecret() in a logged-in victim's session, overwrite the victim's TOTP secret, and force two-factor re-enrollment. This issue is fixed in version 3.8.11.