CVE-2026-100672

Grav CMS üçün Comments plagini (getgrav/grav-plugin-comments) 1.2.10 versiyasına qədər olan hissədə hər hansı autentifikasiya yoxlaması olmadan şərh məlumatlarını JSON formatında qaytaran admin handler-i qeydiyyatdan keçirir. Handler `isAdmin()` funksiyasına əsaslanır ki, bu da ziyarətçinin autentifikasiya olunduğunu deyil, yalnız admin xidmətinin cari marşrutda qeydiyyatdan keçdiyini göstərir və klassik Admin plagini giriş ekranını təsvir etməzdən əvvəl, plaginlər mərhələsi zamanı JSON-u ekrana çıxarıb `exit()` funksiyasını çağırır. Klassik Admin plagini istifadə edilən və Comments aktiv olan (defolt halda) saytlarda, autentifikasiya olunmamış uzaq hücumçu `/admin/comments/page:<n>` (məsələn, page:0.001) ünvanına sorğu göndərə bilər və son 7 günün bütün şərhlərini, o cümlədən hər bir şərh yazanın e-poçt ünvanını və məlumat faylının server fayl sistemi üzrə mütləq yolunu əldə edə bilər. Grav 2.0 Admin Next stekini (admin2 + api) işlədən saytlar bu yol vasitəsilə təsirə məruz qalmırlar. Problem 1.2.11 versiyasında düzəldilib; bu versiya `admin.comments` və ya `admin.super` səlahiyyətinə malik autentifikasiya olunmuş istifadəçi tələb edir və cavabdan mütləq `filePath`-i silir.