Grav من الإصدار 1.7.53.3 قبل الإصدار 1.7.53.6 تجاوز مصادقة Clockwork Profiler عبر تراجع الاسترجاع المحلي (Loopback Fallback)

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Grav من الإصدار 1.7.53.3 قبل الإصدار 1.7.53.6 على تجاوز للمصادقة في Debugger::isDebuggerRequestAuthorized() والذي يسمح للزوار دون مصادقة بقراءة بيانات محلل أداء /__clockwork/ عبر تراجع REMOTE_ADDR للاسترجاع المحلي. خلف وكيل عكسي لنفس المضيف، تظهر الطلبات البعيدة كعمليات استرجاع محلي، مما يتيح للمهاجمين قراءة السجلات المخزنة بما في ذلك كلمات مرور المسؤول بالنص الصريح وبيانات اعتماد التكوين.

المعالجة

1. أحصِ جميع نشرات getgrav grav، بما فيها بيئات الاختبار.
2. رقِّ getgrav grav إلى الإصدار 1.7.53.6.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/getgrav/grav/commit/4d9fca043f990a818d65cea61c928203b9e19641
• تحذيرhttps://github.com/getgrav/grav/security/advisories/GHSA-xprx-c7jf-cp6g
• تحذيرhttps://www.vulncheck.com/advisories/grav-from-1.7.53.3-before-1.7.53.6-clockwork-profiler-authorization-bypass-via-loopback-fallback
• مرجعhttps://github.com/getgrav/grav/releases/tag/1.7.53.6