Grav Login Plugin: Umgehung der Zwei-Faktor-Authentifizierung über Remember-me-Cookie

Zusammenfassung

Das Grav Login Plugin ab Version 2.7.0 bis 3.9.8 kann nach dem Passwortschritt ein Remember-me-Cookie erstellen, bevor der zweite Faktor geprüft wurde. Ein Angreifer, der das Passwort eines Kontos mit Front-End-2FA kennt, kann dieses Cookie wiederherstellen und so eine vollständig autorisierte Sitzung ohne zweiten Faktor erhalten. Die Schwachstelle ist nur relevant, wenn auf einer Grav-Website Front-End-2FA aktiviert ist.

Betroffen

• Grav Login Plugin (getgrav/grav-plugin-login) ab 2.7.0 bis vor 3.9.9 (CNA-Eintrag: betroffen 2.7.0 bis < 3.9.9)
• Der Hersteller-Advisory nennt Versionen bis 3.9.8 als betroffen und weist darauf hin, dass der Bereich noch durch Tests bei der Veröffentlichung bestätigt werden muss.

Behoben in

• Version 3.9.9 (vom CNA als nicht betroffen und in den GHSA-Metadaten als gepatchte Version aufgeführt)
• Der GHSA-Text besagt, dass noch kein gepatchtes Release verfügbar ist. Bestätigen Sie das Release 3.9.9 vor dem Rollout auf der GitHub-Advisory-Seite.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.

• Nicht verifizierter Vorschlag: Die Remember-me-Funktion in der Plugin-Konfiguration deaktivieren, bis ein Patch eingespielt ist. Prüfen Sie dies anhand des Hersteller-Advisory, bevor Sie sich darauf verlassen.

Ausnutzung

• Nicht als aktiv ausgenutzt gekennzeichnet.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Der Melder wird als redwolf1919 genannt.

Unsere Empfehlung

• Alle Grav-Websites inventarisieren und die Version des Login Plugins prüfen.
• Login Plugin auf 3.9.9 oder neuer aktualisieren und den 2FA-Login-Ablauf erneut testen.
• Bis zur Behebung Remember-me auf Websites deaktivieren, die Inhalte mit 2FA schützen.
• Anmeldungen prüfen, die ohne 2FA-Ereignis erfolgreich waren, und Passwörter zurücksetzen, wo Wiederverwendung vermutet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cmg5-qw8p-gxcf github.com
• VulnCheck advisory: Grav Login Plugin 2FA bypass via Remember-Me cookie www.vulncheck.com
• OSV: CVE-2026-109313 osv.dev
• OpenCVE: CVE-2026-109313 app.opencve.io
• GitHub Security: getgrav/grav github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:43.