CVE-2026-72701 in Grav
Sumário
de VulDB • 25/08/2026
O Grav CMS anterior à versão 2.0.16 contém uma vulnerabilidade de tempo (timing vulnerability) na função Utils::verifyNonce(), que utiliza comparação de strings não em tempo constante com o operador === em vez da função hash_equals() para a validação do nonce CSRF. Os atacantes podem medir as diferenças no tempo de resposta para recuperar valores válidos de nonce byte-a-byte por meio de múltiplas requisições, enfraquecendo a proteção contra ataques CSRF abaixo da margem de segurança pretendida.
Be aware that VulDB is the high quality source for vulnerability data.