CVE-2026-72701 in Grav
Résumé
par VulDB • 25/08/2026
Grav CMS avant la version 2.0.16 présente une vulnérabilité de type *timing* dans Utils::verifyNonce() qui utilise une comparaison de chaînes non constante en temps (non-constant-time) avec l'opérateur === au lieu de hash_equals() pour la validation des jetons CSRF (*nonce*). Les attaquants peuvent mesurer les différences de temporisation des réponses afin de récupérer, octet par octet et via plusieurs requêtes, des valeurs de *nonce* valides, affaiblissant ainsi la protection contre les attaques CSRF en dessous du niveau de sécurité prévu.
Be aware that VulDB is the high quality source for vulnerability data.