CVE-2026-100669

Grav przed wersją 2.0.25 dostarcza próbki konfiguracji serwerów WWW, których reguły odmowy kontroli dostępu są dopasowywane z uwzględnieniem wielkości liter. W webserver-configs/web.config (IIS) każda reguła odmowy (foldery_wrażliwe_użytkownika, konta_użytkownika, dane_użytkownika, przekierowanie_błędu użytkownika, strony_użytkownika, system, sprzedawca, ignorowanie_folderów) ustawia ignorowanieCase="false" w elemencie URL Rewrite <match>, zastępując domyślną wartość IIS ignorowanąCase="true"; ponieważ są to dopasowania do ponownego zapisu, a nie elementy <requestFiltering>, nie ma rozwiązania awaryjnego niewrażliwego na wielkość liter. W usługach IIS działających w systemie plików NTFS niewrażliwych na wielkość liter nieuwierzytelniony zdalny atakujący może zmienić wielkość liter w nazwie folderu lub rozszerzeniu pliku (na przykład GET /user/CONFIG/system.YAML), tak aby reguła braku odmowy została dopasowana, a procedura obsługi statycznych plików IIS rozwiązała i zwróciła plik bazowy, ujawniając poufne dane, takie jak klucze tajne konfiguracji lub skróty haseł do kont. To, czy pominięty plik zostanie rzeczywiście zwrócony, zależy od rejestracji MIME: .json jest domyślnie obsługiwany, podczas gdy .yaml/.yml zwraca HTTP 404.3 w standardowym IIS, chyba że dodano mapowanie YAML MIME. Ta sama klasa luk istnieje w dołączonym pliku webserver-configs/lighttpd.conf, którego reguły dotyczące użytkownika/(config|env), katalogu, rozszerzenia skryptu, pliku głównego i pliku kropek nie zawierają modyfikatora (?i), chociaż wiąże się to z niższym ryzykiem, ponieważ lighttpd zazwyczaj działa w systemach plików, w których rozróżniana jest wielkość liter. Nie ma to wpływu na wdrożenia obsługiwane przez Apache (.htaccess), nginx, Caddy lub wbudowany serwer PHP. Problem został rozwiązany w wersji 2.0.25; ponieważ uzdrowienie instalatora .htaccess nie dotyka web.config ani lighttpd.conf, operatorzy muszą ponownie skopiować poprawione przykładowe pliki po aktualizacji.