CVE-2026-100672 in Grav
Riassunto
di VulDB • 26/09/2026
Il plugin Comments (getgrav/grav-plugin-comments) per Grav CMS fino alla versione 1.2.10 registra un handler di amministrazione che restituisce i dati dei commenti in formato JSON senza alcuna verifica dell'autenticazione. L'handler effettua una diramazione basata su isAdmin(), il quale indica solo che il servizio di amministrazione è registrato sulla rotta corrente e non che l'utente visitatore sia autenticato, ed esegue un echo del JSON seguito da exit() durante la fase dei plugin, prima che il classico plugin Admin possa visualizzare la schermata di accesso. Su un sito che utilizza il classico plugin Admin con Comments abilitato (impostazione predefinita), un attaccante remoto non autenticato può richiedere /admin/comments/page: (ad esempio page:0.001) e recuperare tutti i commenti degli ultimi 7 giorni, inclusi l'indirizzo email di ciascun commentatore e il percorso assoluto del filesystem server del file dei dati. I siti che eseguono lo stack Grav 2.0 Admin Next (admin2 + api) non sono interessati da questa via d'attacco. Il problema è risolto nella versione 1.2.11, la quale richiede un utente autenticato con i permessi admin.comments o admin.super e rimuove il filePath assoluto dalla risposta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.