CVE-2026-100671

Резюме

Grav — это CMS на основе плоских файлов. В версиях с 2.0.19 по 2.0.24 — а также в версиях с 2.0.0 по 2.0.18 и 1.7.x только там, где Twig для контента был явно включён — содержимое страницы, созданное пользователем, обладающим только правом записи страниц, отображается через песочницу Twig, которая включает в белый список get_cookie(), возвращающую любой cookie, отправленный с текущим запросом, включая сессионный cookie посетителя. Поскольку чтение происходит на стороне сервера через filter_input(INPUT_COOKIE, ...), атрибуты HttpOnly, Secure и SameSite не обеспечивают никакой защиты. Затем Grav сохраняет готовый вывод после обработки Twig в кэш содержимого страницы, ключом которого служат только идентификатор страницы и контрольная сумма конфигурации, без измерения сессии, пользователя или запроса и без обхода для аутентифицированных посетителей. Таким образом, страница, опубликованная пользователем с правом записи страниц, может захватить идентификатор сессии следующего администратора, который её просмотрит, после чего кэшированный вывод передаёт этот идентификатор неаутентифицированным посетителям, которые могут воспроизвести cookie для аутентификации в качестве этого администратора. Начиная с 2.0.19, security.twig_content.process_enabled по умолчанию имеет значение true, и Security::applyTwigContentDefault() выводит флаг process.twig каждой страницы из этого шлюза, поэтому Twig для контента выполняется на каждой странице без каких-либо действий во frontmatter или со стороны оператора. Исправлено в 2.0.25; 1.7.x находится за пределами области обратного портирования.

Источники

• cve-2026-100671-pocPoC

  Локальный проверочный инструмент (proof-of-concept) для CVE-2026-100671, воспроизводящий раскрытие и повторное использование session-cookie из кэша страниц Grav Twig на loopback-целях.