CVE-2026-62671
Təsvir
Grav Login Plugin, Grav-a giriş, əsas ACL və sessiya miqyaslı mesajlar əlavə edir. Versiya 3.8.11-dək Grav Login plugininin login.regenerate2FASecret tapşırığı, TaskServiceProvider task: URI parametri vasitəsilə login-form nonce, Origin yoxlaması və ya Referer yoxlaması tələb etmədən üst səviyyəli GET sorğusunu qəbul edir. Defolt SameSite=Lax sessiya kukisi siyasəti altında, kənar sayt naviqasiyası daxil olmuş qurbanın sessiyasında taskRegenerate2FASecret() funksiyasını çağıra, qurbanın TOTP sirrini yeniləyə və iki faktorlu autentifikasiyanın yenidən qeydiyyatını məcburi edə bilər. Bu problem 3.8.11 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav-plugin-login | < 3.8.11 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.