FICHE CVE

CVE-2026-109321

Publiée le 2026-10-12 · Dernière modification le 2026-10-18

🇫🇷 EN BREF

Les sites utilisant Grav CMS avec le plugin Login OAuth avant la version 1.4.3 sont concernés. Un attaquant distant non authentifié peut prendre le contrôle administratif complet d'un compte privilégié en devinant l'identifiant du fournisseur et en calculant un hachage de mot de passe prévisible. Comme cela ne nécessite aucun accès spécial ni interaction de l'utilisateur, l'exécution via le réseau est relativement simple.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-1391

Publiée2026-10-12

Dernière modification2026-10-18

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Grav Login OAuth plugin (grav-plugin-login-oauth) before 1.4.3 provisions OAuth accounts as ordinary Grav users with a deterministic <provider>.<id> username and an unsalted MD5 hash of the provider identifier as the password, without disabling password login. Unauthenticated remote attackers who learn or guess a provider identifier can reproduce these credentials and log in, gaining administrative control of privileged accounts.