CVE-2026-11430 in Grav
要約
〜によって VulDB • 2026年08月08日
Grav CMSのscheduler-webhookプラグインには、Webhookトークン検証における認証回避の脆弱性が存在します。Webhook機能が有効化されているがwebhookTokenが設定されていない場合、複合条件演算子のショートサーキットによりトークン検証がスキップされます。その結果、POST /scheduler/webhookにアクセス可能な未認証のリモート攻撃者は、単一のリクエストを送信することで運用者が既に構成済みのスケジュールジョブを実行させることができます。この脆弱性の本質は「既存のジョブの実行」であり、「攻撃者が選択したコマンドの実行」ではありません。攻撃者は?job=パラメータを通じてどのジョブが実行されるか、およびいつ実行されるかを制御できますが、ジョブの内容自体を操作することはできません。コード実行が発生するのは、運用者がシェルを実行するジョブを構成した場合に限られ、その場合でも攻撃者が制御できるのはタイミングでありペイロードではありません。デフォルトインストール時の問題ではありません：このエンドポイントに到達するには、別途scheduler-webhook GPMプラグインのインストールと、scheduler.modern.webhook.enabledがtrue（デフォルトはfalse）であること、そしてwebhookTokenが未設定であることが必要です。標準的なGravまたはGrav-Adminのインストールでは、本脆弱性は暴露されません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.