CVE-2026-109312
Yüksek
Açıklama
Grav Login plugin 2.7.0 ile 3.9.9 arasındaki sürümler, oturum kullanıcısının varlığını kontrol eden ancak bekleyen bir ön uç 2FA oturumunun tam olarak yetkilendirildiğini kontrol etmeyen processUserProfile() fonksiyonunda bir kimlik doğrulama atlatma açığı içermektedir. Kurbanın parolasına sahip olan ve erişim kuralı olmaksızın bir sayfa formu yayınlayabilen saldırganlar, iki faktörlü doğrulamayı (2FA) tamamlamadan önce update_user işlemini çağırarak twofa_enabled özelliğini devre dışı bırakabilir ve hesabı ele geçirebilir.
ÖnemYüksek
CVSS8.1
İstismar olasılığı—
ÜrünGetgrav Grav-plugin-login
Yayın12 Eki 2026
İlk görülme12 Eki 2026
Zayıflık türüCWE-287Hatalı kimlik doğrulama
Nasıl düzeltilir
Güncelleyin
- getgrav grav-plugin-login3.9.9 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-login | 2.7.0 ≤ v < 3.9.9 | 3.9.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.