CVE-2026-92916

Grav to płaski CMS. W Grav 1.7.0 do 1.7.53.2 i 2.0.0 do 2.0.21, gdy debuger jest włączony (system.debugger.enabled: true, co nie jest ustawieniem domyślnym), punkt końcowy profilera Clockwork jest ujawniany bez uwierzytelnienia: IndividualizeProcessor::handleDebuggerRequest() przechwytuje dowolną ścieżkę zawierającą /__clockwork/ podczas ładowania początkowego i przekazuje ją do Debugger::debuggerRequest(), który nie wykonuje wyszukiwania użytkowników, nie ogranicza adresu IP ani nie sprawdza uwierzytelnienia Clockwork, a także obsługuje anonimowe paginowanie całej przechowywanej historii. Po dostarczeniu cenzury: fałszywe ustawienia domyślne, każdy przechowywany rekord zawiera surowe pliki cookie żądań (w tym plik cookie sesji Grava, którego wartością jest identyfikator sesji PHP, umożliwiający atakującemu wznowienie sesji innego użytkownika, w tym uwierzytelnionego administratora), pełną przeanalizowaną treść żądania (formularz logowania Grav zawiera dane [nazwa użytkownika]/dane [hasło], więc hasła są przechowywane w postaci zwykłego tekstu, ponieważ filtr haseł Clockwork sprawdza tylko klucze najwyższego poziomu) oraz cały system i wtyczkę witryny konfiguracja, w tym sekrety zapisane przez operatora, takie jak poświadczenia SMTP, klucze API innych firm i klucze licencyjne. Nagłówki autoryzacji i X-API-Token są przechowywane nawet po cenzurze: prawda. W Grav 2.0 ustawienie dostawca: debugbar nie pozwala uniknąć problemu, ponieważ Grav wymusza dostawcę Clockwork dla żądań preferujących odpowiedź JSON. Problem został rozwiązany w wersjach 1.7.53.4 i 2.0.22, które ograniczają /__clockwork/ do żądań lokalnych na serwerze lub żądań prezentujących nowy sekret system.debugger.token oraz usuwają pliki cookie i nagłówki poświadczeń z przechowywanych rekordów. Obejścia obejmują ustawienie debugger.enabled: false lub blokowanie /__clockwork/ na serwerze WWW lub CDN.