CVE-2026-56710
KrytyczneCVSS 9.8Streszczenie
Wtyczka Grav Login przed wersją 1.0.16 nie weryfikuje poziomu uprawnień docelowego konta w handlerze onApiUserListRowAction unlock. Atakujący z uprawnieniem api.users.write może wyczyścić liczniki blokady logowania na kontach admin.super, usuwając ochronę przed atakami brute-force na konta o najwyższych uprawnieniach.
Ocena ryzyka
Może to umożliwić atakującemu przeprowadzenie ataku brute-force na konta administratora bez konieczności posiadania równoważnych uprawnień, co może prowadzić do przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Grav Login do wersji 1.0.16 lub nowszej. Ogranicz uprawnienia api.users.write tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Grav Login plugin versions before 1.0.16 fail to validate the target account's privilege level in the onApiUserListRowAction unlock handler. An attacker with api.users.write permission can clear login lockout counters on admin.super accounts, removing brute-force protection from the highest-privilege accounts without requiring equivalent permissions.