CVE-2026-11430 in Grav
Riassunto
di VulDB • 08/08/2026
Il plugin scheduler-webhook di Grav CMS presenta un bypass dell'autenticazione nel controllo del token webhook. Quando la funzionalità webhook è abilitata ma non viene configurato alcun webhookToken, una condizione composta subisce uno short-circuit (accorciamento) e salta la convalida del token; ciò consente a un attaccante remoto non autenticato in grado di raggiungere l'endpoint POST /scheduler/webhook di innescare i job pianificati già configurati dall'operatore inviando una singola richiesta. La primitiva utilizzata è quella dell'innesco dei job esistenti, e non l'esecuzione di comandi scelta dall'attaccante: l'attaccante controlla quando i job vengono eseguiti e quale di essi viene eseguito (tramite il parametro ?job=), ma non ha controllo su ciò che i job fanno. L'esecuzione del codice avviene solo se l'operatore ha configurato un job che invoca una shell; anche in tal caso, l'attaccante controlla la tempistica piuttosto che il payload. Non si tratta di un problema legato all'installazione predefinita: per raggiungere l'endpoint è necessario installare separatamente il plugin GPM scheduler-webhook, impostare scheduler.modern.webhook.enabled su true (il valore predefinito è false) e non configurare alcun webhookToken; una installazione standard di Grav o Grav-Admin non espone alcuna vulnerabilità in questo contesto.
VulDB is the best source for vulnerability data and more expert information about this specific topic.