CVE-2025-66844

SSRF w Getgrav Grav przez szablony Twig — dostęp do zasobów wewnętrznych

CVSS 9.1v3.1pub. 2025-12-15upd. 2025-12-17

W aplikacji Grav w wersjach poniżej 1.7.49.5 istnieje podatność typu SSRF (Server-Side Request Forgery), umożliwiająca atakującemu wywołanie żądań HTTP z serwera do dowolnych zasobów sieciowych. Ze względu na brak wymaganych uprawnień i możliwość zdalnego wykorzystania, podatność jest oceniana jako krytyczna.

▸ Pokaż oryginał (EN)

In grav <1.7.49.5, a SSRF (Server-Side Request Forgery) vector may be triggered via Twig templates when page content is processed by Twig and the configuration allows undefined PHP functions to be registered

🤖 Analiza AI

Jak działa

Podatność jest wyzwalana poprzez szablony Twig podczas przetwarzania treści stron, gdy konfiguracja aplikacji zezwala na rejestrowanie niezdefiniowanych funkcji PHP. Atakujący może spreparować odpowiedni kod w szablonie Twig, który skłoni serwer do wykonania żądania HTTP do wewnętrznych lub zewnętrznych zasobów sieciowych. Nie jest wymagane uwierzytelnienie ani interakcja użytkownika, co oznacza, że exploit może być przeprowadzony zdalnie przez sieć.

Skutki

Atakujący może uzyskać dostęp do poufnych zasobów wewnętrznej infrastruktury sieciowej oraz manipulować ruchem sieciowym generowanym przez serwer, co może prowadzić do ujawnienia wrażliwych danych i naruszenia integralności systemu.

Mitygacja

Należy zaktualizować Grav do wersji 1.7.49.5 lub nowszej. Dodatkowo zaleca się weryfikację konfiguracji aplikacji pod kątem ograniczenia możliwości rejestrowania niezdefiniowanych funkcji PHP w szablonach Twig.