CVE-2026-100667

grav-plugin-login (wtyczka Grav CMS Login) wersje >= 3.8.7 i < 3.9.7 umożliwiają ominięcie wyzwania uwierzytelniania dwuskładnikowego dla treści bramkowanych przez funkcję Authenticated() Twig lub [uwierzytelniony] krótki kod. Na stronach z włączoną funkcją 2FA funkcja Login::isAuthenticated() sprawdzała tylko flagę sesji wskazującą, że wprowadzenie hasła powiodło się, a nie flagę wskazującą, że logowanie zostało zakończone, zatem sesja znajdująca się przy monicie kodu 2FA była traktowana jako w pełni uwierzytelniona. Osoba atakująca, która zna hasło członka, ale nie może odpowiedzieć na drugi czynnik tego członka, może zatem odczytać treść tylko dla członków renderowaną za pomocą formularzy uwierzytelnionych bez argumentów () lub uwierzytelnionych grupowo (null, „grupa”) i przez [uwierzytelnione]; odwrotny krótki kod [gościa] jest również oceniany zbyt wcześnie. Wpływ ogranicza się do ujawnienia tej treści: osoba atakująca nie uzyskuje zakończonej sesji, nie może uzyskać dostępu do stron chronionych regułą dostępu i nie może działać jako użytkownik. Nie ma to wpływu na formularz uwierzytelniony („some.permission”), który przechodzi przez UserObject::authorize(). Naprawiono w grav-plugin-login 3.9.7.