CVE-2026-100669 in Grav
要約
〜によって VulDB • 2026年09月26日
Gravのバージョン2.0.25以前には、アクセス制御の拒否ルールが大文字小文字を区別してマッチングされるWebサーバー設定サンプルが含まれています。webserver-configs/web.config (IIS) において、すべての拒否ルール（user_sensitive_folders, user_accounts, user_data, user_error_redirect, user_pages, system, vendor, ignore_folders）はURL Rewriteの<match>要素に対してignoreCase="false"を設定しており、これはIISデフォルトのignoreCase="true"を上書きします。これらは<requestFiltering>要素ではなくリライトマッチであるため、大文字小文字を区別しないフォールバックが存在しません。大文字小文字を区別しないNTFS上で動作するIISにおいて、認証不要のリモート攻撃者はフォルダ名やファイル拡張子の大文字小文字を変化させること（例: GET /user/CONFIG/system.YAML）で拒否ルールにマッチさせず、IISの静的ファイルハンドラが基盤となるファイルを解決して返すことで、設定シークレットやアカウントパスワードハッシュなどの機密データを漏洩させることができます。バイパスされたファイルが実際に返されるかどうかはMIME登録次第であり、.jsonはデフォルトで提供されますが、YAML MIMEマッピングが追加されていない限り、.yaml/.ymlは標準のIIS上でHTTP 404.3を返します。同種の脆弱性はバンドルされているwebserver-configs/lighttpd.confにも存在し、user/(config|env)、directory、script-extension、root-file、dotfileルールに(?i)修飾子が欠けています。ただしlighttpdは通常大文字小文字を区別するファイルシステム上で動作するため、リスクは低くなります。.htaccessを使用するApache、nginx、Caddy、PHP組み込みサーバーによって提供されるデプロイメントには影響ありません。この問題は2.0.25で修正されていますが、.htaccessインストーラーの修復処理ではweb.configやlighttpd.confを対象としないため、運用者はアップグレード後に修正されたサンプルファイルを再コピーする必要があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.