CVE-2026-100669 in Grav
Tóm tắt
Bởi VulDB • 27/09/2026
Grav trước phiên bản 2.0.25 cung cấp các mẫu cấu hình máy chủ web có các quy tắc từ chối kiểm soát truy cập được khớp theo phân biệt chữ hoa/thường (case-sensitively). Trong file `webserver-configs/web.config` (IIS), mọi quy tắc deny (`user_sensitive_folders`, `user_accounts`, `user_data`, `user_error_redirect`, `user_pages`, `system`, `vendor`, `ignore_folders`) đều đặt thuộc tính `ignoreCase="false"` trên phần tử URL Rewrite `<match>`, ghi đè lên mặc định của IIS là `ignoreCase="true"`. Vì đây là các phép khớp rewrite thay vì các phần tử `<requestFiltering>`, nên không có cơ chế dự phòng không phân biệt chữ hoa/thường. Trên hệ thống IIS chạy trên filesystem NTFS không phân biệt chữ hoa/thường, một kẻ tấn công từ xa chưa xác thực (unauthenticated) có thể thay đổi trường hợp của tên thư mục hoặc phần mở rộng tệp tin (ví dụ: `GET /user/CONFIG/system.YAML`) sao cho không quy tắc deny nào khớp, khiến bộ xử lý file tĩnh của IIS giải quyết và trả về tệp tin gốc, làm lộ dữ liệu nhạy cảm như bí mật cấu hình hoặc hash mật khẩu tài khoản. Việc có thực sự trả về tệp tin bị bỏ qua hay không phụ thuộc vào đăng ký MIME: `.json` được phục vụ theo mặc định, trong khi `.yaml`/`.yml` trả về HTTP 404.3 trên IIS tiêu chuẩn trừ khi ánh xạ MIME YAML đã được thêm vào. Cùng một loại lỗ hổng này tồn tại trong file `webserver-configs/lighttpd.conf`, nơi các quy tắc `user/(config|env)`, directory, script-extension, root-file và dotfile thiếu modifier `(?i)`, mặc dù rủi ro thấp hơn vì lighttpd thường chạy trên các filesystem phân biệt chữ hoa/thường. Các triển khai được phục vụ bởi Apache (`.htaccess`), nginx, Caddy hoặc máy chủ tích hợp PHP không bị ảnh hưởng. Vấn đề đã được sửa trong phiên bản 2.0.25; do trình cài đặt `.htaccess` heal không tác động đến `web.config` hay `lighttpd.conf`, các nhà vận hành (operators) phải sao chép lại các file mẫu đã sửa sau khi nâng cấp.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.