Grav Login OAuth plugin: Vorhersagbare Zugangsdaten ermöglichen Authentifizierungsumgehung

Zusammenfassung

Das Grav Login OAuth plugin legt lokale Konten für OAuth-Benutzer mit einem Benutzernamen in der Form <provider>.<id> und einem Passwort an, das ein ungesalzener MD5-Hash der Provider-Kennung ist. Die Passwort-Anmeldung bleibt für diese Konten aktiv. Ein unauthentifizierter Angreifer aus dem Netzwerk, der eine Provider-Kennung kennt oder errät, kann die Zugangsdaten ableiten und sich anmelden. Bei Administratorkonten kann dies zur vollständigen Kontrolle über die Website führen.

Betroffen

• grav-plugin-login-oauth 1.0.0-beta.1 bis 1.4.2 (Bereich laut VulnCheck: vor 1.4.3)
• Das GitHub-Advisory nennt nur 1.4.1 als betroffen; hier wird der Bereich von VulnCheck verwendet.

Behoben in

• Version 1.4.3 laut Herstellerhinweis. Zum Zeitpunkt der Recherche konnte die Veröffentlichung nicht bestätigt werden.

Umgehung

• Das Plugin deaktivieren oder das Passwort jedes Kontos mit dem Namen <provider>.<id> ändern.
• Hinweis: Die Deaktivierung des Plugins entfernt bestehende Konten nicht; das alte Passwort funktioniert weiterhin, bis es geändert oder das Konto deaktiviert wird.

Ausnutzung

• CISA SSVC: Exploitation none, Automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden; fehlende Treffer bei der Suche sind kein Beweis, dass keiner existiert.
• Die Ausnutzung ist nicht komplex: Die grösste Hürde ist die Kenntnis einer gültigen Provider-Kennung.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und ob OAuth-Konten existieren, insbesondere Administratorkonten.
• Die Passwörter aller Konten mit dem Namen <provider>.<id> sofort ändern oder das Plugin deaktivieren, bis eine korrigierte Version bestätigt ist.
• Die Release-Seite des Plugins prüfen und Version 1.4.3 installieren, sobald deren Veröffentlichung bestätigt ist.
• Anmeldeprotokolle auf ungewöhnliche Logins bei diesen Konten prüfen.
• Weitere Grav-Plugins prüfen, etwa das API-Plugin (CVE-2026-64852, CVE-2026-65007), falls diese eingesetzt werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mj8v-hvf6-73gm github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-109321 osv.dev
• VulDB entry 417143 vuldb.com
• Ionix threat center www.ionix.io
• HOL Guard CVE summary hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:28.