CVE-2026-100672
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wtyczka Komentarze (getgrav/grav-plugin-comments) dla Grav CMS do wersji 1.2.10 rejestruje moduł obsługi administracyjnej, który zwraca dane komentarzy w formacie JSON bez żadnej kontroli uwierzytelnienia. Procedura obsługi rozgałęzia się na isAdmin(), która wskazuje jedynie, że usługa administracyjna jest zarejestrowana na bieżącej trasie, a nie, że użytkownik jest uwierzytelniony, i powtarza kod JSON i wywołuje funkcję exit() na etapie wtyczek, zanim klasyczna wtyczka Admin wygeneruje ekran logowania. W witrynie korzystającej z klasycznej wtyczki Admin z włączoną opcją Komentarze (domyślnie) nieuwierzytelniony zdalny atakujący może zażądać /admin/comments/page:<n> (np. strona:0.001) i pobrać każdy komentarz z ostatnich 7 dni, w tym adres e-mail każdego komentatora i bezwzględną ścieżkę pliku danych do systemu plików serwera. Ta ścieżka nie ma wpływu na witryny korzystające ze stosu Grav 2.0 Admin Next (admin2 + api). Problem został rozwiązany w wersji 1.2.11, która wymaga uwierzytelnienia użytkownika za pomocą admin.comments lub admin.super i usuwa bezwzględną ścieżkę pliku z odpowiedzi.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org