Podatności Grav

Grav przed wersją 2.0.1 zawiera podatność na bombę dekompresyjną w metodzie ZipArchiver::extract(), która nie ogranicza rozmiaru po dekompresji, liczby plików ani głębokości zagnieżdżenia. Atakujący może dostarczyć spreparowane archiwum ZIP, które po rozpakowaniu wypełnia całe dostępne miejsce na dysku, powodując odmowę usługi poprzez wyczerpanie zasobów pamięci masowej.

Grav przed wersją 2.0.2 zawiera obejście sandboksa Twig, które pozwala autorowi strony (każdemu użytkownikowi z uprawnieniami admin.pages lub osobie mogącej pisać do katalogu user/pages) na wyciek sekretów konfiguracyjnych. Mimo że sandboks zastępuje zmienną 'config' okrojoną fasadą i usuwa metody Config::get/toArray z listy dozwolonych, surowy kontener pozostaje dostępny przez dozwoloną metodę grav.offsetGet('config'), która zwraca oryginalny obiekt Config. Dozwolone filtry dumpowania obiektów (json_encode, print_r, yaml_encode) serializują ten obiekt na poziomie PHP bez wywoływania bramki metod sandboksa, ujawniając pełne drzewo konfiguracji, w tym sekrety wtyczek, takie jak dane uwierzytelniające SMTP, klucze API i dane uwierzytelniające bazy danych wtyczek.

Grav przed wersją 2.0.0 (aż do 2.0.0-rc.9 i gałęzi 2.0) zawiera podatność na przechowywane wstrzykiwanie CSS w akcji mediów Markdown image resize(). Wcześniejsze zabezpieczenia odrzucają bezpośrednie ładunki ?style= i niebezpieczne funkcje fallback, ale akcja resize() w Excerpts::processMediaActions() zapisuje wartości kontrolowane przez wywołującego bezpośrednio do atrybutu styleAttributes obrazu. Redaktor treści z niższymi uprawnieniami, który może edytować Markdown strony, może przechowywać spreparowany URL obrazu z deklaracjami CSS oddzielonymi średnikami w parametrach resize, które są renderowane w końcowym atrybucie <img style=...> gdy recenzent/admin z wyższymi uprawnieniami przegląda stronę lub podgląd.

Grav przed wersją 2.0.0-beta.2 zawiera podatność na wstrzykiwanie zewnętrznych jednostek XML (XXE) w procesie przesyłania plików SVG, co pozwala uwierzytelnionym atakującym na odczyt dowolnych plików. Aplikacja używa funkcji simplexml_load_string bez wyłączenia ładowania zewnętrznych jednostek, co umożliwia atakującym wstrzykiwanie ładunków XXE za pomocą złośliwych plików SVG.

Wtyczka administracyjna dla Grav, będąca interfejsem HTML do konfiguracji i zarządzania stronami, przed wersją 1.11.0-beta.1 zawiera podatność na trwały cross-site scripting (XSS) w punkcie /admin/accounts/groups/Grupo. Atakujący mogą wstrzyknąć złośliwe skrypty do parametru data[readableName]. Wstrzyknięte skrypty są przechowywane na serwerze i wykonywane automatycznie przy każdym dostępie do strony, co stanowi poważne ryzyko bezpieczeństwa. Podatność została naprawiona w wersji 1.11.0-beta.1.

W systemie Grav, przed wersją 1.8.0-beta.27, użytkownicy z uprawnieniami do odczytu sekcji zarządzania kontami w panelu administracyjnym mogą przeglądać hashe haseł wszystkich użytkowników, w tym administratora. Ujawnienie tych hashy może umożliwić atakującemu ich złamanie i podniesienie uprawnień.

W systemie Grav przed wersją 1.8.0-beta.27 występuje podatność na odmowę usługi (DoS) związana z obsługą parametru scheduled_at. Aplikacja nie sanityzuje poprawnie wyrażeń cron, co pozwala na zablokowanie panelu administracyjnego poprzez manipulację tym parametrem, np. wprowadzając pojedynczy cudzysłów.

W platformie Grav przed wersją 1.8.0-beta.27 użytkownik o niskich uprawnieniach z prawem edycji stron może odczytać dowolne pliki serwera za pomocą formularza "Frontmatter". Obejmuje to pliki kont użytkowników Grav (/grav/user/accounts/*.yaml), które przechowują hasła użytkowników, sekrety 2FA i tokeny resetowania hasła.

Grav to platforma webowa oparta na plikach. W wersjach przed 1.8.0-beta.27 prosty formularz na stronie może ujawnić całą konfigurację Grav (w tym konfigurację wtyczek) poprzez odpowiedni ładunek POST wykorzystujący podatność Server-Side Template (SST). Ujawnione dane mogą zawierać informacje wrażliwe.

Grav to platforma webowa oparta na plikach. W wersjach przed 1.8.0-beta.27 w wtyczce Admin występuje podatność eskalacji uprawnień wynikająca z braku walidacji unikalności nazwy użytkownika przy tworzeniu kont. Użytkownik z uprawnieniem tworzenia użytkowników może utworzyć konto o tej samej nazwie co istniejące konto administratora, ustawić nowe hasło i zalogować się jako administrator.

W platformie Grav przed wersją 1.8.0-beta.27 użytkownik z uprawnieniem do tworzenia kont może utworzyć nowe konto z nazwą zawierającą sekwencje przejścia ścieżki (np. ..\Nijat lub ../Nijat), co powoduje zapis pliku YAML konta poza katalogiem user/accounts/. Zapisany plik może zawierać pola konta, takie jak email, fullname, twofa_secret i hashed_password.

Grav to platforma webowa oparta na plikach. Przed wersją 1.8.0-beta.27 występuje podatność Server-Side Template Injection (SSTI), która pozwala uwierzytelnionym atakującym z uprawnieniami edytora na wykonanie dowolnych poleceń na serwerze, a w pewnych warunkach może być wykorzystana również przez nieuwierzytelnionych atakujących. Podatność wynika ze słabej walidacji regex w metodzie cleanDangerousTwig.

Grav, platforma webowa oparta na plikach w PHP, jest podatna na atak typu server side template injection (SSTI). Wersja 1.7.42 i nowsze mają błąd w funkcji `isDangerousFunction()`, co pozwala na wykonanie złośliwego kodu poprzez dodanie podwójnego ukośnika (`\`).