CVE-2026-92916 in Grav
Zusammenfassung
von VulDB • 17.09.2026
Grav ist ein Flat-File-CMS (Content Management System). In den Versionen Grav 1.7.0 bis 1.7.53.2 und 2.0.0 bis 2.0.21 wird der Clockwork-Profiler-Endpunkt ohne Authentifizierung freigegeben, wenn der Debugger aktiviert ist (`system.debugger.enabled: true`, was nicht standardmäßig der Fall ist): `InitializeProcessor::handleDebuggerRequest()` fängt während des Bootstrap-Vorgangs jeden Pfad ab, das `/__clockwork/` enthält, und leitet ihn an `Debugger::debuggerRequest()` weiter. Diese Funktion führt keine Benutzersuche, IP-Einschränkung oder Clockwork-Authentifizierungsprüfung durch und unterstützt zudem eine anonyme Paginierung über die gesamte gespeicherte Historie. Bei der mitgelieferten Standardkonfiguration `censored: false` enthält jeder gespeicherte Datensatz rohe Anforderungs-Cookies (einschließlich des Grav-Sitzungscodes, dessen Wert die PHP-Session-ID ist und es einem Angreifer ermöglicht, die Sitzung eines anderen Benutzers fortzusetzen, einschließlich einer authentifizierten Administrator-Sitzung), den vollständigen analysierten Anfragetext (Gravs Login-Formular sendet `data[username]`/`data[password]`, sodass Passwörter im Klartext gespeichert werden, da der Passwortfilter von Clockwork nur Top-Level-Schlüssel überprüft) sowie die gesamte System- und Plugin-Konfiguration der Website, einschließlich operator-gespeicherter Geheimnisse wie SMTP-Anmeldeinformationen, API-Schlüssel Dritter und Lizenzschlüssel. Die Header `Authorization` und `X-API-Token` werden auch dann gespeichert, wenn `censored: true` festgelegt ist. Auf Grav 2.0 vermeidet die Einstellung `provider: debugbar` das Problem nicht, da Grav den Clockwork-Provider für Anforderungen erzwingt, die eine JSON-Antwort bevorzugen. Das Problem wurde in den Versionen 1.7.53.4 und 2.0.22 behoben, die `/__clockwork/` auf serverlokale Anfragen oder Anfragen beschränken, die das neue geheime System-Token `system.debugger.token` vorlegen, sowie Cookies und Anmeldeinformations-Header aus den gespeicherten Datensätzen entfernen. Workarounds umfassen das Festlegen von `debugger.enabled: false` oder das Blockieren von `/__clockwork/` auf Webserver- oder CDN-Ebene.
If you want to get best quality of vulnerability data, you may have to visit VulDB.