CVE-2026-100672 in Grav
الملخص
بحسب VulDB • 26/09/2026
يُسجّل ملحق التعليقات (getgrav/grav-plugin-comments) الخاص بمنصة Grav CMS حتى الإصدار 1.2.10 معالجًا للمسؤولين يعيد بيانات التعليقات بتنسيق JSON دون إجراء أي تحقق من المصادقة. يعتمد المعالج على دالة `isAdmin()`، التي تشير فقط إلى أن خدمة المسؤول مسجّلة في المسار الحالي وليس إلى أن الزائر قد تمّت مصادقته، ويقوم بطباعة البيانات بصيغة JSON ثم يستدعي `exit()` أثناء مرحلة الإضافات (plugins)، وذلك قبل أن يعرض ملحق Admin الكلاسيكي شاشة تسجيل الدخول الخاصة به. وعلى موقع يستخدم ملحق Admin الكلاسيكي مع تفعيل التعليقات (وهو الإعداد الافتراضي)، يمكن لمهاجم عن بُعد غير مُصادَق عليه طلب المسار `/admin/comments/page:<n>` (مثل `page:0.001`) واسترجاع جميع التعليقات من آخر 7 أيام، بما في ذلك عنوان البريد الإلكتروني لكل معلق والمسار المطلق لنظام الملفات على الخادم الخاص بملف البيانات. ولا تتأثر المواقع التي تشغل مجموعة Admin Next الخاصة بـ Grav 2.0 (admin2 + api) عبر هذا المسار. تم إصلاح هذه المشكلة في الإصدار 1.2.11، الذي يتطلب وجود مستخدم مُصادَق عليه يمتلك الصلاحيات `admin.comments` أو `admin.super`، كما يزيل الحقل المطلق `filePath` من الاستجابة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.