Grav is kwetsbaar voor Arbitrary File Read

De impact van deze kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om serverbestanden te lezen, waaronder de YAML-bestanden die gebruikersaccounts opslaan. Deze bestanden bevatten gehashte wachtwoorden, 2FA-geheimen en wachtwoordreset tokens. Door deze informatie te verkrijgen, kan een aanvaller bestaande gebruikersaccounts compromitteren door wachtwoorden te resetten en toegang te krijgen tot de accounts, of door de gehashte wachtwoorden te kraken. De blast radius omvat alle gebruikersaccounts binnen de getgrav/grav installatie, en de kwetsbaarheid kan worden misbruikt om lateraal te bewegen binnen het systeem als de gecompromitteerde accounts voldoende privileges hebben.

Websites and applications utilizing Grav CMS versions 1.8.0-beta.9 and earlier are at risk. This includes organizations hosting Grav CMS instances on shared hosting environments, as the vulnerability allows for file access regardless of user privileges. Additionally, deployments with default configurations or those lacking robust file access controls are particularly vulnerable.

• php / server:

find /var/www/grav/user/plugins/form/templates/forms/fields/display/ -name 'display.html.twig' -print0 | xargs -0 grep -i 'frontmatter'

• php / server:

journalctl -u grav -f | grep -i "Frontmatter"

• generic web: Use curl to test for access to sensitive files. If the CMS is configured with default settings, attempt to access /grav/user/accounts/*.yaml via a browser or curl. A successful response indicates potential exploitation. • generic web: Review access logs for unusual file access patterns, particularly requests targeting files within the /grav/user/accounts/ directory.

1. 2025-12-02Disclosure

   disclosure

1. Gereserveerd2025-11-26
2. Gepubliceerd2025-12-02
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van getgrav/grav naar versie 1.8.0-beta.27 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan om tijdelijke maatregelen te nemen. Beperk de toegang tot het 'Frontmatter' formulier door de rechten van gebruikers met bewerkingsrechten te beperken. Implementeer een Web Application Firewall (WAF) met regels om pogingen tot bestandstoegang via het formulier te blokkeren. Controleer de toegangsprotocollen en logbestanden op verdachte activiteit, zoals ongebruikelijke bestandstoegangsverzoeken. Na de upgrade, controleer de gebruikersaccounts en logbestanden op tekenen van ongeautoriseerde toegang.

Laatste update

1.7.52recent