CVE-2025-66307

ŚrednieCVSS 6.5

Opublikowano: 01/12/2025(UTC)Zaktualizowano: 26/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka administracyjna dla Grav (do wersji 1.11.0-beta.1) zawiera podatność umożliwiającą enumerację użytkowników i ujawnienie adresów e-mail. Funkcjonalność „Forgot Password” pod adresem /admin/forgot ujawnia informacje o prawidłowych nazwach użytkowników i powiązanych adresach e-mail poprzez różne odpowiedzi serwera. Podatność została naprawiona w wersji 1.11.0-beta.1.

Ocena ryzyka

Atakujący może zebrać listę prawidłowych nazw użytkowników i adresów e-mail, co może być wykorzystane do ataków takich jak password spraying, phishing lub inżynieria społeczna. Ryzyko dotyczy wszystkich instalacji Grav z tą wtyczką.

Rekomendacja

Należy zaktualizować wtyczkę administracyjną Grav do wersji 1.11.0-beta.1 lub nowszej. Do czasu aktualizacji zaleca się monitorowanie prób enumeracji użytkowników.

Inne podatności w Grav admin plugin

CVE-2025-66311Średnie
Wtyczka admin dla Grav (interfejs HTML do konfiguracji i edycji stron) zawiera podatność Stored XSS w punkcie końcowym /admin/pages/[page]. Atakujący może wstrzyknąć złośliwe skrypty do parametrów data[header][metadata], data[header][taxonomy][category] oraz data[header][taxonomy][tag], które są zapisywane w frontmatter strony i wykonywane przy każdym jej wyświetleniu w panelu administracyjnym. Podatność naprawiono w wersji 1.11.0-beta.1.

Oryginalny opis (angielski, źródło NVD)

This admin plugin for Grav is an HTML user interface that provides a convenient way to configure Grav and easily create and modify pages. Prior to 1.11.0-beta.1, a user enumeration and email disclosure vulnerability exists in Grav. The "Forgot Password" functionality at /admin/forgot leaks information about valid usernames and their associated email addresses through distinct server responses. This allows an attacker to enumerate users and disclose sensitive email addresses, which can be leveraged for targeted attacks such as password spraying, phishing, or social engineering. This vulnerability is fixed in 1.11.0-beta.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS