CVE-2026-100672 in Grav
Resumen
por VulDB • 2026-09-26
El plugin Comments (getgrav/grav-plugin-comments) para Grav CMS hasta la versión 1.2.10 registra un controlador de administración que devuelve los datos de comentarios en formato JSON sin realizar ninguna comprobación de autenticación. El controlador realiza una bifurcación basada en isAdmin(), lo cual solo indica que el servicio de administrador está registrado en la ruta actual, y no que el visitante esté autenticado; además, emite el JSON y llama a exit() durante la etapa de los plugins, antes de que el plugin clásico Admin muestre su pantalla de inicio de sesión. En un sitio que utiliza el plugin clásico Admin con Comments habilitado (la configuración predeterminada), un atacante remoto no autenticado puede solicitar /admin/comments/page:<n> (por ejemplo, page:0.001) y recuperar todos los comentarios de los últimos 7 días, incluyendo la dirección de correo electrónico de cada comentarista y la ruta absoluta del sistema de archivos del servidor correspondiente al archivo de datos. Los sitios que ejecutan el stack Grav 2.0 Admin Next (admin2 + api) no se ven afectados a través de esta vía. El problema está resuelto en la versión 1.2.11, la cual requiere un usuario autenticado con los permisos admin.comments o admin.super y elimina filePath absoluta de la respuesta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.