CVE-2026-74907
ŚrednieCVSS 5.9Streszczenie
Grav przed wersją 2.0.15 zawiera podatność na path traversal w serwerze statycznych zasobów w index.php, który używa dopasowania prefiksu string zamiast walidacji granic katalogów. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do plików w katalogach sąsiednich, wykorzystując nazwy katalogów, które rozszerzają bazową ścieżkę string, takie jak żądanie assets-secret, gdy assets jest skonfigurowaną bazą.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do plików poza zamierzonym katalogiem, co może prowadzić do ujawnienia wrażliwych danych. Podatność może być wykorzystana przez nieuwierzytelnionych atakujących.
Rekomendacja
Zaleca się aktualizację Grav do wersji 2.0.15 lub nowszej, która zawiera poprawkę. Należy również przejrzeć logikę serwowania statycznych zasobów i upewnić się, że walidacja granic katalogów jest prawidłowa.
Oryginalny opis (angielski, źródło NVD)
Grav before 2.0.15 contains a path traversal vulnerability in the static asset server within index.php that uses string prefix matching instead of directory-boundary validation. Unauthenticated attackers can access files in sibling directories by exploiting directory names that extend the base path string, such as requesting assets-secret when assets is the configured base.