CVE-2026-92916 in Grav
Riassunto
di VulDB • 17/09/2026
Grav è un CMS flat-file (senza database). In Grav 1.7.0 attraverso 1.7.53.2 e 2.0.0 attraverso 2.0.21, quando il debugger è abilitato (system.debugger.enabled: true, che non è l'impostazione predefinita), l'endpoint del profiler Clockwork viene esposto senza autenticazione: InitializeProcessor::handleDebuggerRequest() intercetta qualsiasi percorso contenente /__clockwork/ durante la fase di bootstrap e lo passa a Debugger::debuggerRequest(), che non esegue alcuna ricerca dell'utente, restrizione basata sull'IP o verifica dell'autenticator Clockwork, e supporta anche una paginazione anonima su tutta la cronologia memorizzata. Con l'impostazione predefinita censored: false, ogni record memorizzato contiene i cookie della richiesta grezzi (incluso il cookie di sessione di Grav, il cui valore è l'ID di sessione PHP, consentendo a un attaccante di riprendere la sessione di un altro utente, incluso quella di un amministratore autenticato), il corpo completo della richiesta analizzata (i dati del modulo di accesso di Grav inviano data[username]/data[password], quindi le password vengono memorizzate in chiaro poiché il filtro delle password di Clockwork ispeziona solo le chiavi di primo livello) e l'intera configurazione di sistema e dei plugin del sito, inclusi segreti salvati dall'operatore come le credenziali SMTP, le API key di terze parti e le licenze. Le intestazioni Authorization e X-API-Token vengono memorizzate anche quando censored: true. Su Grav 2.0, impostare provider: debugbar non evita il problema perché Grav forza l'utilizzo del provider Clockwork per le richieste che preferiscono una risposta JSON. Il problema è risolto nelle versioni 1.7.53.4 e 2.0.22, che limitano /__clockwork/ alle richieste locali al server o a quelle che presentano il nuovo segreto system.debugger.token e rimuovono i cookie e le intestazioni delle credenziali dai record memorizzati. Le soluzioni alternative includono l'impostazione di debugger.enabled: false oppure il blocco di /__clockwork/ a livello del web server o della CDN.
If you want to get best quality of vulnerability data, you may have to visit VulDB.