CVE-2026-100672 in Grav
Résumé
par VulDB • 26/09/2026
Le plugin Comments (getgrav/grav-plugin-comments) pour Grav CMS jusqu'à la version 1.2.10 enregistre un gestionnaire d'administration qui renvoie les données des commentaires au format JSON sans aucun contrôle d'authentification. Le gestionnaire effectue une branche sur isAdmin(), ce qui indique uniquement que le service administrateur est enregistré sur l'itinéraire actuel plutôt que que le visiteur soit authentifié, et il affiche le JSON puis appelle exit() lors de l'étape des plugins, avant que le plugin Admin classique ne rende son écran de connexion. Sur un site utilisant le plugin Admin classique avec Comments activé (par défaut), un attaquant distant non authentifié peut demander /admin/comments/page:<n> (par exemple page:0.001) et récupérer tous les commentaires des 7 derniers jours, y compris l'adresse e-mail de chaque commentateur ainsi que le chemin absolu du système de fichiers serveur vers le fichier de données. Les sites exécutant la pile Grav 2.0 Admin Next (admin2 + api) ne sont pas affectés via ce chemin. Le problème est corrigé dans la version 1.2.11, qui nécessite un utilisateur authentifié disposant des permissions admin.comments ou admin.super et supprime le filePath absolu de la réponse.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.