CVE-2026-109321: Bypass de autenticação por credenciais previsíveis no plugin Login OAuth do Grav
O plugin Login OAuth do Grav cria contas vinculadas a provedores OAuth com nomes de usuário determinísticos e senhas derivadas de um hash MD5 sem sal, o que pode permitir que um atacante não autenticado que conheça o identificador do provedor faça login. O registro classifica a falha como crítica, com pontuação CVSS base de 9.1, e nas fontes consultadas não há exploração confirmada. A faixa afetada termina antes da versão 1.4.3.
Visão geral
O plugin Grav Login OAuth (grav-plugin-login-oauth) vincula identidades OAuth a contas de usuário comuns do Grav. Segundo o registro, essas contas recebem um nome de usuário previsível e uma senha derivada de um hash MD5 sem sal do identificador do provedor, e o login por senha não é desativado. O registro atribui a fraqueza CWE-1391.
Impacto
- Atacantes remotos não autenticados que descubram ou adivinhem um identificador de provedor podem reproduzir as credenciais.
- Um login bem-sucedido pode conceder controle administrativo sobre contas privilegiadas.
- O registro informa pontuação CVSS base de 9.1 e impacto técnico total na avaliação SSVC.
Produtos e versões afetados
- Produto: Getgrav Grav-plugin-login-oauth.
- Faixa afetada no registro: da 1.0.0-beta.1 até antes da 1.4.3.
- Nenhuma versão corrigida está listada no campo de correções. O fim da faixa afetada sugere que a 1.4.3 ou posteriores estão fora da faixa, o que é uma inferência a partir dos dados.
Situação de exploração
O registro indica que este CVE não está no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada. A probabilidade EPSS é 0.00402 (percentil 0.33314) em 2026-10-23, e o campo de exploração SSVC está como none.
Correção e mitigação
- Atualize o plugin para a 1.4.3 ou posterior, conforme indicado pelo fim da faixa afetada.
- Consulte o aviso do fornecedor para orientações do mantenedor.
- Revise contas criadas via OAuth, troque as credenciais e desative o login por senha para elas, quando possível.
- Verifique contas administrativas em busca de logins ou alterações inesperadas.
Orientações de detecção
- Analise registros de autenticação em busca de logins em contas provisionadas via OAuth a partir de origens inesperadas.
- Procure usuários administrativos recém-criados ou alterações de papel não esperadas.
- Monitore logins por senha em contas que deveriam usar somente OAuth.
Limitações das informações disponíveis
- O registro não traz dados de versão corrigida, por isso a versão exata da correção deve ser confirmada no aviso do fornecedor.
- O nome da CWE não é informado no registro.
- O status do registro é Deferred e não há análise detalhada do NVD disponível.
- Esta análise não inclui detalhes técnicos de reprodução.
Perguntas frequentes
Qual é a fraqueza principal neste problema do Login OAuth do Grav?
Segundo o registro, contas provisionadas via OAuth recebem um nome de usuário previsível e uma senha derivada de MD5 sem sal, e o login por senha não é desativado.
Há exploração ativa conhecida?
O registro não o lista no KEV da CISA, e nas fontes consultadas não há exploração confirmada.
O que os administradores devem fazer?
Atualizar o plugin para a 1.4.3 ou posterior, revisar contas provisionadas via OAuth e administrativas e verificar os logs em busca de logins inesperados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.