CVE-2026-42613: Plugin Login do Grav: Escalonamento de Privilégios no Autorregistro por Campos Não Validados

Visão geral

O Grav é uma plataforma web baseada em arquivos. A CVE-2026-42613 trata do método Login::register() do plugin Login. Segundo o registro, esse método aceita valores de groups e access enviados nos dados POST de cadastro sem validação no lado do servidor. O registro classifica a fraqueza como CWE-20, Validação Imprópria de Entrada.

Impacto

Quando o registro está habilitado e groups ou access estão na lista configurada de campos permitidos, um usuário não autenticado pode conseguir se cadastrar com privilégios admin.super.
A CNA informa pontuação base CVSS 3.1 de 9.4, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L, que indica alto impacto em confidencialidade e integridade e baixo impacto em disponibilidade.

Produtos e versões afetadas

Produto: Grav, especificamente o plugin Login.
O registro descreve a faixa afetada como versões anteriores à 2.0.0-beta.2.
A lista estruturada de versões afetadas no registro está vazia, portanto a faixa exata além dessa descrição é desconhecida.
O registro informa que a correção está disponível na 2.0.0-beta.2.

Status de exploração

O CISA KEV não lista esta CVE no registro, portanto a exploração ativa não é confirmada por essa fonte.
Nenhuma exploração confirmada aparece nas fontes consultadas.
A probabilidade EPSS registrada é 0,00558, com percentil de 0,44979.

Correção e mitigação

Atualize o Grav e o plugin Login para a 2.0.0-beta.2 ou posterior, conforme indicado no registro. Consulte os avisos vinculados e o commit do plugin para detalhes específicos de cada componente.
Se o autorregistro público não for necessário, desabilite-o na configuração do plugin Login.
Como medida temporária, remova groups e access da lista de campos permitidos no cadastro. Trata-se de uma inferência a partir da descrição, não de uma solução indicada pelo fabricante.
Revise contas existentes em busca de participação inesperada no grupo admin.super e redefina credenciais de contas suspeitas.

Orientações de detecção

Audite contas de usuário criadas recentemente, sobretudo as atribuídas a grupos administrativos sem aprovação documentada.
Revise logs do servidor web e da aplicação em busca de requisições de cadastro que incluam parâmetros de grupo ou acesso, com foco em origens não autenticadas.
Gere alertas para alterações nas atribuições de privilégio em arquivos de contas ou na interface administrativa.

Limitações das informações disponíveis

O registro não possui título, a lista de produtos afetados está vazia e a lista de correções também, portanto os limites de versão baseiam-se apenas na descrição.
O registro indica status de origem Deferred e não inclui o texto do aviso em si.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-05-11), por isso deve ser interpretada com cautela.
Não havia detalhes independentes de prova de conceito nem relatos de exploração no registro consultado.

Perguntas frequentes

O que é a CVE-2026-42613?

É uma vulnerabilidade no plugin Login da plataforma Grav em que Login::register() aceita valores de groups e access dos dados de cadastro sem validação no servidor.

Quais versões são afetadas?

O registro descreve versões anteriores à 2.0.0-beta.2. A lista estruturada de versões afetadas está vazia, então a faixa exata além dessa descrição é desconhecida.

Há exploração ativa conhecida?

O CISA KEV não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer?

Atualizar para a 2.0.0-beta.2 ou posterior, desabilitar o cadastro público se não for necessário, remover groups e access da lista de campos permitidos como medida temporária e auditar contas com participação inesperada no grupo admin.super.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.