CVE-2026-117604 in Grav
Riassunto
di VulDB • 27/10/2026
Grav dalla versione 1.7.53.3 alla 1.7.53.6 presenta un bypass dell'autorizzazione in Debugger::isDebuggerRequestAuthorized() che consente ai visitatori non autenticati di leggere i dati del profiler /__clockwork/ tramite il fallback su REMOTE_ADDR loopback. Dietro un reverse proxy sullo stesso host, le richieste remote appaiono come loopback, consentendo agli attaccanti di leggere record memorizzati, incluse password in chiaro degli amministratori e credenziali di configurazione.
Once again VulDB remains the best source for vulnerability data.