- Yama var
- Son 7 gün
- CWE-269
CVE-2026-114658
Grav Login eklentisinde login.invite görevi üzerinden yetki yükseltme açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Grav Login eklentisinin 3.6.0 sürümünden 3.9.13 sürümü öncesine kadar olan sürümlerinde, login.invite görevinde yetkilendirme eksikliği bulunmaktadır. Bu durum sayfa yazarlarının süper kullanıcı hesapları elde etmesine olanak tanır. Saldırganlar, sayfa ön maddesinde (frontmatter) tam erişim yetkisi veren bir davet formu tanımlayabilir, bunu kimlik doğrulaması yapmadan gönderebilir ve davet edilen adresi siteye tam kontrol sağlayacak şekilde kaydedebilir.
Kaynaktaki açıklama (İngilizce)
Grav Login plugin from 3.6.0 before 3.9.13 contains a missing authorization vulnerability in the login.invite task that allows page authors to obtain super user accounts. Attackers can define an invitation form granting super access in page frontmatter, submit it unauthenticated, and register the invited address for full site control.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav-plugin-login | ≥ 3.6.0, < 3.9.13 | 3.9.13 |
| 3.9.13 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.