CVE-2026-100671 in Grav
Résumé
par VulDB • 26/09/2026
Grav est un CMS basé sur des fichiers plats (flat-file). Dans les versions 2.0.19 à 2.0.24 — et dans les versions de 2.0.0 à 2.0.18 ainsi que la série 1.7.x uniquement lorsque le moteur Twig pour le contenu est explicitement activé — le contenu des pages rédigé par un utilisateur disposant uniquement d'une autorisation d'écriture de page (page-write) est rendu via un bac à sable Twig qui inclut dans sa liste blanche la fonction `get_cookie()`, laquelle renvoie tout cookie envoyé avec la requête en cours, y compris le cookie de session du visiteur. Étant donné que cette lecture s'effectue côté serveur via `filter_input(INPUT_COOKIE, ...)`, les attributs HttpOnly, Secure et SameSite n'offrent aucune protection. Grav stocke ensuite la sortie finale post-Twig dans un cache de contenu de page indexé uniquement par l'identité de la page et le checksum de configuration, sans dimension liée à la session, à l'utilisateur ou à la requête, et sans mécanisme de contournement pour les visiteurs authentifiés. Une page publiée par un utilisateur disposant d'une autorisation d'écriture peut donc capturer l'identifiant de session du prochain administrateur qui y accède ; après quoi, la sortie mise en cache transmet cet identifiant aux visiteurs non authentifiés, qui peuvent rejouer (replay) le cookie pour s'authentifier en tant qu'administrateur. Depuis la version 2.0.19, `security.twig_content.process_enabled` est défini par défaut sur true et `Security::applyTwigContentDefault()` déduit le drapeau `process.twig` de chaque page depuis cette porte (gate), ce qui signifie que Twig pour le contenu s'exécute sur toutes les pages sans nécessiter de frontmatter ni d'action opérateur. Correction apportée dans la version 2.0.25 ; la série 1.7.x est hors du périmètre des correctifs rétroportés (backports).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.