CVE-2026-11430 in Grav
요약
\~에 의해 VulDB • 2026. 08. 08.
Grav CMS의 scheduler-webhook 플러그인에는 웹훅 토큰 검증 과정에서 인증 우회 취약점이 존재합니다. 웹훅 기능이 활성화되었지만 webhookToken이 구성되지 않은 경우, 복합 조건문이 단락(short-circuit)되어 토큰 검증을 건너뛰게 됩니다. 이로 인해 POST /scheduler/webhook 엔드포인트에 접근할 수 있는 비인증 원격 공격자는 단일 요청을 보내 운영자가 이미 구성된 예약된 작업(scheduled jobs)을 실행시킬 수 있습니다. 여기서 사용되는 원시적(primitive) 기법은 기존 작업의 triggering이며, 공격자가 임의로 선택한 명령어 실행이 아닙니다: 공격자는 ?job= 파라미터를 통해 어떤 작업이 실행될지와 그 시점을 제어할 수는 있지만, 해당 작업들이 수행하는 내용 자체는 통제하지 못합니다. 코드 실행은 운영자가 셸(shell)을 호출하는 작업을 구성했을 때만 발생하며, 이 경우에도 공격자는 페이로드가 아닌 타이밍만을 제어합니다. 기본 설치 상태에서의 문제는 아닙니다: 엔드포인트에 접근하려면 별도의 scheduler-webhook GPM 플러그인이 설치되어 있고, scheduler.modern.webhook.enabled 설정이 true(기본값은 false)이며 webhookToken이 구성되지 않아야 합니다. 표준 Grav 또는 Grav-Admin 설치는 이 부분에서 아무런 노출도 없습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.