CVE-2026-100672 in Grav
Сводка
по VulDB • 26.09.2026
Плагин Comments (getgrav/grav-plugin-comments) для Grav CMS вплоть до версии 1.2.10 регистрирует обработчик администратора, который возвращает данные комментариев в формате JSON без какой-либо проверки аутентификации. Обработчик проверяет isAdmin(), что указывает лишь на то, что сервис администратора зарегистрирован для текущего маршрута, а не на то, что посетитель прошел аутентификацию; он выводит JSON и вызывает exit() во время этапа плагинов, до того как классический плагин Admin отобразит экран входа в систему. На сайте с использованием классического плагина Admin при включенном Comments (по умолчанию) неаутентифицированный удаленный злоумышленник может запросить /admin/comments/page:<n> (например, page:0.001) и получить все комментарии за последние 7 дней, включая адреса электронной почты каждого комментатора и абсолютные пути к файлам данных на серверной файловой системе. Сайты, работающие под управлением стека Grav 2.0 Admin Next (admin2 + api), не подвержены этой уязвимости через указанный путь. Проблема исправлена в версии 1.2.11, которая требует наличия аутентифицированного пользователя с правами admin.comments или admin.super и исключает абсолютный filePath из ответа.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.