CVE-2026-100669

2.0.25 versiyasından əvvəlki Grav, girişə nəzarət (access-control) imtina qaydaları böyük-kiçik hərflərə həssas şəkildə yoxlanılan veb server konfiqurasiya nümunələri ilə tədarük edilir. webserver-configs/web.config (IIS) faylında hər bir imtina qaydası (user_sensitive_folders, user_accounts, user_data, user_error_redirect, user_pages, system, vendor, ignore_folders) öz URL Rewrite <match> elementində ignoreCase="false" parametrini təyin edir və bununla IIS-in standart ignoreCase="true" tənzimləməsini ləğv edir; bunlar <requestFiltering> elementləri deyil, rewrite uyğunlaşmaları olduğu üçün böyük-kiçik hərflərə həssas olmayan ehtiyat variant mövcud deyil. Böyük-kiçik hərflərə həssas olmayan NTFS üzərində işləyən IIS-də autentifikasiya olunmamış uzaq hücumçu qovluq adının və ya fayl genişlənməsinin registrini dəyişdirərək (məsələn, GET /user/CONFIG/system.YAML) heç bir imtina qaydasının uyğun gəlməməsini təmin edə bilər və beləliklə IIS statik fayl idarəedicisi altda yatan faylı tapıb geri qaytararaq konfiqurasiya sirləri və ya hesab parol heşləri kimi həssas məlumatları ifşa edə bilər. Yan keçilən faylın faktiki olaraq qaytarılıb-qaytarılmaması MIME qeydiyyatından asılıdır: .json standart olaraq təqdim edilir, .yaml/.yml isə YAML MIME xəritələməsi əlavə edilmədikcə standart IIS-də HTTP 404.3 xətasını qaytarır. Eyni növ boşluq paketə daxil edilmiş webserver-configs/lighttpd.conf faylında da mövcuddur; burada user/(config|env), directory, script-extension, root-file və dotfile qaydalarında (?i) modifikatoru çatışmır, lakin lighttpd adətən böyük-kiçik hərflərə həssas fayl sistemlərində işlədiyi üçün bu daha aşağı risklidir. Apache (.htaccess), nginx, Caddy və ya PHP-nin daxili serveri vasitəsilə təmin edilən qurulmalar buna təsirə məruz qalmır. Problem 2.0.25 versiyasında düzəldilmişdir; .htaccess quraşdırıcı bərpası web.config və ya lighttpd.conf fayllarına toxunmadığı üçün operatorlar yeniləmədən sonra düzəldilmiş nümunə faylları yenidən kopyalamalıdırlar.