CVE-2026-92916 in Grav
요약
\~에 의해 VulDB • 2026. 09. 17.
Grav는 플랫 파일 CMS입니다. Grav 1.7.0부터 1.7.53.2 및 2.0.0부터 2.0.21까지, 디버거가 활성화된 경우(system.debugger.enabled: true로 설정됨, 기본값은 아님) Clockwork 프로파일러 엔드포인트가 인증 없이 노출됩니다: InitializeProcessor::handleDebuggerRequest()는 부트스트랩 과정에서 /__clockwork/를 포함하는 모든 경로를 가로채어 Debugger::debuggerRequest()에 전달하며, 이 함수는 사용자 조회, IP 제한 또는 Clockwork 인증기 검사를 수행하지 않으며 저장된 전체 기록에 대해 익명 페이지네이션도 지원합니다. 기본값으로 censored: false가 설정되어 있으므로, 각 저장 레코드에는 원본 요청 쿠키(Grav의 세션 쿠키를 포함하며, 이 값은 PHP 세션 ID이므로 공격자가 인증된 관리자 권한을 포함한 다른 사용자의 세션을 이어받을 수 있음), 전체 구문 분석된 요청 본문(Grav의 로그인 폼에서 data[username]/data[password]로 POST 데이터를 전송하므로 Clockwork의 비밀번호 필터가 최상위 키만 검사하여 비밀번호가 평문으로 저장됨) 및 SMTP 자격 증명, 제3자 API 키, 라이선스 키와 같은 운영자가 저장한 비밀을 포함한 사이트 전체 시스템 및 플러그인 구성이 포함됩니다. censored: true로 설정된 경우에도 Authorization 및 X-API-Token 헤더는 저장됩니다. Grav 2.0에서 provider: debugbar를 설정해도 JSON 응답을 선호하는 요청에 대해 Grav가 Clockwork 제공자를 강제하기 때문에 이 문제가 해결되지 않습니다. 해당 문제는 /__clockwork/를 서버 로컬 요청 또는 새로운 system.debugger.token 비밀값을 제시한 요청으로 제한하고 저장된 레코드에서 쿠키 및 자격 증명 헤더를 제거하는 1.7.53.4 및 2.0.22에서 수정되었습니다. 우회 방법으로는 debugger.enabled: false 설정 또는 웹 서버/CDN 수준에서 /__clockwork/ 차단이 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.