Grav Login Plugin: Authentifizierungsumgehung bei 2FA über Profil-Update

Zusammenfassung

Das Grav Login Plugin (getgrav/grav-plugin-login) in den Versionen 2.7.0 bis 3.9.8 prüft vor einer Profiländerung nicht, ob eine Zwei-Faktor-Authentisierung (2FA) vollständig abgeschlossen ist. Ein Angreifer, der das Passwort eines Opfers kennt und ein Seitenformular ohne Zugriffsregel veröffentlichen kann, kann Profildaten vor Abschluss des zweiten Faktors ändern, einschliesslich der Deaktivierung von 2FA. Dies kann zur vollständigen Übernahme des Kontos führen. Voraussetzung sind ein gültiges Passwort und ein geeignetes Seitenformular.

Betroffen

• getgrav grav-plugin-login 2.7.0 bis einschliesslich 3.9.8
• Nicht betroffen: 3.9.9 und neuer

Behoben in

• Version 3.9.9 (gemäss CVE-Eintrag und Advisory-Metadaten). Der Advisory-Text besagt, dass bei der Veröffentlichung noch kein gepatchter Release verfügbar war. Die Behebung ist deshalb vor dem Einsatz auf der Herstellerseite zu prüfen.

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
• Vorschlag des Analysten, nicht vom Hersteller: Front-End-Seitenformulare bis zum Upgrade des Plugins auf fehlende Zugriffsregeln prüfen.

Ausnutzung

• In den geprüften Spiegeldaten nicht als aktiv ausgenutzt markiert; im CISA KEV direkt überprüfen.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Grav Login Plugin auf 3.9.9 oder neuer aktualisieren, sobald die Behebung bestätigt ist.
• Prüfen, ob das Plugin auf öffentlich erreichbaren Grav-Websites installiert ist und ob 2FA verwendet wird.
• Konten mit Admin- oder Editor-Rechten auf unerwartete Änderungen an 2FA-Einstellungen und Profildaten prüfen.
• Passwörter von Konten mit schwachen oder mehrfach verwendeten Zugangsdaten zurücksetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5rph-jqcf-2x36 github.com
• VulnCheck advisory: Grav Login Plugin 2FA Bypass via Profile Update Form www.vulncheck.com
• OSV: CVE-2026-109312 osv.dev
• VulDB entry 417113 vuldb.com
• OpenCVE: CVE-2026-109312 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:44.