CVE-2026-92916 in Grav
Sumário
de VulDB • 17/09/2026
Grav é um CMS baseado em arquivos planos (flat-file). No Grav 1.7.0 até 1.7.53.2 e 2.0.0 até 2.0.21, quando o depurador está habilitado (system.debugger.enabled: true, que não é a configuração padrão), o endpoint do profiler Clockwork fica exposto sem autenticação: InitializeProcessor::handleDebuggerRequest() intercepta qualquer caminho contendo /__clockwork/ durante a inicialização e o encaminha para Debugger::debuggerRequest(), que não realiza verificação de usuário, restrição por IP nem validação do autenticador Clockwork. Além disso, suporta paginação anônima sobre todo o histórico armazenado. Com a configuração padrão censored: false, cada registro armazenado contém cookies brutos da solicitação (incluindo o cookie de sessão do Grav, cujo valor é o ID de sessão PHP, permitindo que um atacante retome a sessão de outro usuário, incluindo a de um administrador autenticado), o corpo completo da solicitação analisada (o formulário de login do Grav envia dados[data[username]]/data[password], portanto as senhas são armazenadas em texto puro porque o filtro de senha do Clockwork inspeciona apenas chaves de nível superior) e toda a configuração do sistema e dos plugins, incluindo segredos salvos pelo operador, como credenciais SMTP, chaves de API de terceiros e chaves de licença. Os cabeçalhos Authorization e X-API-Token são armazenados mesmo quando censored: true. No Grav 2.0, definir provider: debugbar não evita o problema porque o Grav força o provedor Clockwork para solicitações que preferem uma resposta JSON. A vulnerabilidade foi corrigida nas versões 1.7.53.4 e 2.0.22, as quais restringem /__clockwork/ a solicitações locais ao servidor ou àquelas que apresentam o novo segredo system.debugger.token e removem cookies e cabeçalhos de credenciais dos registros armazenados. Soluções alternativas incluem definir debugger.enabled: false ou bloquear /__clockwork/ no servidor web ou em uma CDN.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.