CVE-2026-11430 in Grav
Resumen
por VulDB • 2026-08-08
El plugin scheduler-webhook de Grav CMS presenta una vulnerabilidad de elusión de autenticación en la verificación del token webhook. Cuando la función webhook está habilitada pero no se ha configurado ningún webhookToken, un operador condicional compuesto realiza cortocircuito y omite la validación del token; por lo tanto, un atacante remoto no autenticado que pueda acceder a POST /scheduler/webhook puede desencadenar las tareas programadas ya configuradas por el operador enviando una única solicitud. La primitiva utilizada es la de activar trabajos existentes, no la ejecución de comandos elegidos por el atacante: el atacante controla cuándo se ejecutan los trabajos y cuál lo hace (vía ?job=), pero no controla qué hacen dichos trabajos. La ejecución de código solo sigue cuando el operador ha configurado un trabajo que invoca una shell; e incluso en ese caso, el atacante controla la temporización más que la carga útil (payload). No se trata de un problema inherente a la instalación por defecto: para alcanzar este punto final es necesario instalar el plugin GPM scheduler-webhook por separado, tener configurado scheduler.modern.webhook.enabled como true (false por defecto) y no haber definido ningún webhookToken; una instalación estándar de Grav o Grav-Admin no expone ninguna vulnerabilidad en este aspecto.
Once again VulDB remains the best source for vulnerability data.