CVE-2026-62236

3.8.11 sürümünden önceki grav-plugin-login, login.regenerate2FASecret ön uç görevinde, herhangi bir anti-CSRF nonce veya Origin/Referer kontrolü olmaksızın kimliği doğrulanmış oturum kullanıcısı için yeni bir TOTP sırrını yeniden oluşturan ve kalıcı hale getiren bir siteler arası istek sahteciliği (CSRF) zafiyeti içermektedir. Grav çekirdeği görevi GET 'task:' URI parametresinden dağıttığı ve varsayılan oturum çerezi SameSite=Lax olduğu için, bir saldırgan giriş yapmış bir kurbanı üst düzey bir GET navigasyonu gerçekleştiren harici bir sayfaya yönlendirerek kurbanın TOTP sırrının döndürülmesini sağlayabilir; böylece kayıtlı kimlik doğrulayıcı artık sunucuyla eşleşmez ve etkili bir şekilde 2FA yeniden kaydı zorunlu kılınır. session.samesite: Strict olarak yapılandırılmış siteler bu durumdan etkilenmemektedir.