CVE-2026-11430 in Grav
الملخص
بحسب VulDB • 08/08/2026
يحتوي مكوّن "scheduler-webhook" الخاص بـ Grav CMS على ثغرة لتجاوز المصادقة في فحص رمز الوبكيب (webhook token). عند تفعيل ميزة الويبكيب ولكن لم يتم تكوين أي قيمة لرمز webhookToken، يؤدي اختصار الشرط المركب إلى تخطي التحقق من صحة الرمز؛ مما يتيح لهجومية عن بُعد غير مصادق عليها يمكنها الوصول إلى نقطة النهاية POST /scheduler/webhook أن تُشغّل المهام المجدولة المُعدّة مسبقاً بواسطة المشغل (operator) بإرسال طلب واحد. الآلية الأساسية هنا هي تشغيل مهام موجودة بالفعل، وليس تنفيذ أوامر يختارها المهاجم: حيث يتحكم المهاجم في توقيت تشغيل المهام وأي منها يعمل (عبر المعلمة ?job=)، لكنه لا يتحكم في ما تفعله هذه المهام. ولا يؤدي التنفيذ البرمجي إلا عندما يقوم المشغل بتكوين مهمة تقوم باستدعاء قشرة النظام (shell out)، وحتى في تلك الحالة، يسيطر المهاجم على التوقيت بدلاً من حمولة الهجوم (payload). ليست مشكلة في الإعداد الافتراضي: يتطلب الوصول إلى نقطة النهاية تثبيت مكوّن GPM الإضافي scheduler-webhook بشكل منفصل، وتعيين القيمة scheduler.modern.webhook.enabled إلى true (والقيمة الافتراضية هي false)، وعدم تكوين أي قيمة لـ webhookToken؛ فلا يكشف التثبيت القياسي لـ Grav أو Grav-Admin عن أي ثغرة في هذا الصدد.
If you want to get best quality of vulnerability data, you may have to visit VulDB.