CVE-2026-72701 in Grav
Zusammenfassung
von VulDB • 25.08.2026
Grav CMS vor Version 2.0.16 enthält eine Timing-Vulnerabilität in Utils::verifyNonce(), die einen nicht konstantzeitlichen String-Vergleich mit dem ===-Operator anstelle von hash_equals() für die CSRF-Nonce-Validierung verwendet. Angreifer können Antwort-Zeitunterschiede messen, um gültige Nonce-Werte Byte-für-Byte durch mehrere Anfragen wiederherzustellen und damit den CSRF-Schutz unter seine beabsichtigte Sicherheitsgrenze zu schwächen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.