CVE-2026-100669

2.0.25 öncesindeki Grav, erişim kontrolü engelleme kuralları büyük/küçük harf duyarlı olarak eşleşen web sunucusu yapılandırma örnekleri ile birlikte gelir. webserver-configs/web.config (IIS) dosyasında, her bir engelleme kuralı (user_sensitive_folders, user_accounts, user_data, user_error_redirect, user_pages, system, vendor, ignore_folders), URL Rewrite <match> öğesinde ignoreCase="false" ayarını yaparak IIS'in varsayılan ignoreCase="true" ayarını geçersiz kılar; bunlar <requestFiltering> öğeleri yerine yeniden yazma eşleşmeleri olduğu için büyük/küçük harfe duyarsız bir geri dönüş mekanizması yoktur. Büyük/küçük harfe duyarsız NTFS üzerinde çalışan IIS'de, kimliği doğrulanmamış uzaktan bir saldırgan, hiçbir engelleme kuralının eşleşmemesi için bir klasör adının veya dosya uzantısının büyük/küçük harflerini değiştirebilir (örneğin GET /user/CONFIG/system.YAML); böylece IIS statik dosya işleyicisi ilgili dosyayı çözümleyip döndürerek yapılandırma sırları veya hesap parola özetleri gibi hassas verileri ifşa eder. Atlatılan bir dosyanın gerçekten döndürülüp döndürülmeyeceği MIME kaydına bağlıdır: .json varsayılan olarak sunulurken, .yaml/.yml dosyaları, bir YAML MIME eşlemesi eklenmediği sürece standart bir IIS'de HTTP 404.3 döndürür. Benzer bir açık, beraberinde gelen webserver-configs/lighttpd.conf dosyasında da mevcuttur; buradaki user/(config|env), directory, script-extension, root-file ve dotfile kurallarında (?i) belirteci eksiktir, ancak lighttpd genellikle büyük/küçük harf duyarlı dosya sistemlerinde çalıştığı için bu daha düşük bir risktir. Apache (.htaccess), nginx, Caddy veya PHP yerleşik sunucusu tarafından sunulan dağıtımlar etkilenmez. Sorun 2.0.25 sürümünde düzeltilmiştir; .htaccess yükleyici onarımı web.config veya lighttpd.conf dosyalarına dokunmadığından, operatörlerin yükseltmeden sonra düzeltilmiş örnek dosyaları yeniden kopyalaması gerekir.