CVE-2026-100671

Grav to płaski CMS. W wersjach od 2.0.19 do 2.0.24 — oraz w wersjach od 2.0.0 do 2.0.18 i 1.7.x tylko wtedy, gdy włączono funkcję Content Twig — zawartość strony utworzona przez użytkownika posiadającego jedynie uprawnienia do zapisu strony jest renderowana za pośrednictwem piaskownicy Twig, która udostępnia funkcję get_cookie(), która zwraca dowolny plik cookie wysłany wraz z bieżącym żądaniem, w tym plik cookie sesji odwiedzającego. Ponieważ odczyt odbywa się po stronie serwera poprzez filter_input(INPUT_COOKIE, ...), atrybuty HttpOnly, Secure i SameSite nie zapewniają żadnej ochrony. Następnie Grav przechowuje gotowe dane wyjściowe post-Twig w pamięci podręcznej zawartości strony, której kluczem jest tylko tożsamość strony i suma kontrolna konfiguracji, bez wymiaru sesji, użytkownika lub żądania i bez obejścia dla uwierzytelnionych gości. Strona opublikowana przez użytkownika piszącego stronę może zatem przechwycić identyfikator sesji następnego administratora, który ją przegląda, po czym dane wyjściowe w pamięci podręcznej udostępniają ten identyfikator nieuwierzytelnionym odwiedzającym, którzy mogą odtworzyć plik cookie w celu uwierzytelnienia jako ten administrator. Od wersji 2.0.19 funkcja security.twig_content.process_enabled ma domyślnie wartość true, a Security::applyTwigContentDefault() wyprowadza flagę Process.twig każdej strony z tej bramki, więc content Twig działa na każdej stronie bez żadnego frontmattera ani akcji operatora. Naprawiono w wersji 2.0.25; Wersja 1.7.x wykracza poza zakres backportu.